Tabla de contenido Cubrir Página de título Copyright Dedicación Acerca del Autor Sobre el editor técnico Créditos Prólogo Prefacio y reconocimientos Capítulo 1: Una mirada hacia el mundo de la ingeniería social
¿Por qué este libro es tan valioso Descripción general de la ingeniería social
Resumen
Capítulo 2: Recopilación de información Recopilación de información Fuentes para la recopilación de información Modelado de comunicación La potencia de los modelos de comunicación Capítulo 3: Obtención ¿Qué es la obtención? Los objetivos de obtención Obtención de Mastering Resumen Capítulo 4: Pretexting: Cómo convertirse en alguien Qué es el Pretexting? Los principios y etapas de planificación de Pretexting Pretexting exitosa Resumen Capítulo 5: Mente Trucos: principios psicológicos utilizados en asistencia social
Ingeniería Modos de pensar Microexpressions Neurolinguistic Programming (NLP) Entrevista e interrogatorio Edificio Rapport instantáneo El desbordamiento de búfer humano Resumen
Capítulo 6: Influencia: El poder de la Persuasión
Los cinco fundamentos de la influencia y la persuasión Tácticas de influencia Alterar la realidad: enmarcar Manipulación: Controla tu destino Manipulación en la ingeniería social Resumen Capítulo 7: Las herramientas de la ingeniería social Herramientas de física Herramientas Information-Gathering online Resumen Capítulo 8: Estudios de Caso: Diseccionando el Ingeniero social Mitnick Estudio de Caso 1: Hacking el DMV Mitnick Estudio de Caso 2: Hacking la administración de la Seguridad Social Estudio de casos 1: Hadnagy confíe el CEO Estudio de Caso 2 Hadnagy: El Parque Temático escándalo Top-Secret Estudio de Caso 1: Misión Imposible Top-Secret Estudio de Caso 2: Ingeniería Social un hacker ¿Por qué son importantes los estudios de caso
Resumen
Capítulo 9: Prevención y Mitigación Aprender a identificar los ataques de ingeniería social
Crear una cultura de concienciación sobre seguridad personal
Siendo conscientes del valor de la información que está siendo
Pide Mantener el software actualizado
Desarrollar scripts
Aprendizaje a partir de las auditorías de ingeniería social
Comentarios finales Resumen
Índice
Ingeniería social: el arte de la piratería Publicado por Wiley Publishing, Inc. 10475 Boulevard Crosspoint Indianápolis, EN 46256 Www.wiley.com Copyright © 2011 por Christopher Hadnagy Publicado por Wiley Publishing, Inc., Indianapolis, Indiana
Publicado simultáneamente en Canadá ISBN: 978-0-470-63953-5 ISBN: 978-1-118-02801-8 (ebk) ISBN: 978-1-118-02971-8 (ebk) ISBN: 978-1-118-02974-9 (ebk) Fabricado en los Estados Unidos de América 10 9 8 7 6 5 4 3 2 1 Ninguna parte de esta publicación puede ser reproducida, almacenada en un sistema de recuperación o transmitida de ninguna forma o por cualquier medio, electrónico, mecánico, fotocopia, grabación, escaneado o de otro tipo, excepto en lo permitido en virtud de las secciones 107 y 108 de la Ley de derechos de autor de Estados Unidos de 1976, sin el permiso previo por escrito del editor, o bien la autorización mediante el pago de la correspondiente tasa por copia al Copyright Clearance Center, 222 Rosewood Drive, Danvers, MA 01923, (978) 750-8400, fax (978) 6468600. Pide al editor para autorización deberán dirigirse al Departamento de permisos, John Wiley & Sons, Inc., 111 River Street, Hoboken, NJ 07030, (201) 748-6011, fax (201) 748-6008, o en línea en Http://www.wiley.com/go/permissions .
Límite de responsabilidad y renuncia de garantía: el editor y el autor no hace representaciones o garantías con respecto a la exactitud o integridad del contenido de este trabajo y RENUNCIAN EXPRESAMENTE A TODAS LAS GARANTÍAS, INCLUYENDO, SIN LIMITACIÓN, LAS GARANTÍAS DE APTITUD PARA UN PROPÓSITO PARTICULAR. La garantía no podrá ser creado o ampliado por ventas o materiales promocionales. Los consejos y estrategias que figuran en este documento pueden no ser adecuados para cada situación. Esta obra se vende con el entendimiento de que el editor no se dedica a prestar servicios legales, contables u otros servicios profesionales. Si se requiere ayuda profesional, los servicios de un profesional competente deben ser buscados. Ni el editor ni el autor será responsable de los daños y perjuicios derivados herefrom. El hecho de que una organización o sitio Web es mencionada en este trabajo como una citación y/o una posible fuente de información no significa que el autor o el editor aprueba la información de la organización o sitio web puede proporcionar o recomendaciones que pueda hacer. Además, los lectores deben ser conscientes de que Internet Los sitios web enumerados en este trabajo puede haber cambiado o desaparecido entre cuando esta obra fue escrita y cuando se lea.
Para información general sobre nuestros otros productos y servicios, póngase en contacto con nuestro departamento de Atención al Cliente dentro de los Estados Unidos al (877) 762-2974 fuera de los Estados Unidos al (317) 572-3993 o al fax (317) 572-4002. Wiley también publica sus libros en una variedad de formatos electrónicos. Algunos contenidos que aparece en la impresión puede no estar disponible en libros electrónicos.
Biblioteca del Congreso Número de Control: 2010937817 Marcas registradas: Wiley Wiley y el logotipo son marcas comerciales o marcas comerciales registradas de John Wiley &
Sons, Inc. y/o sus afiliadas en los Estados Unidos y otros países, y no pueden utilizarse sin permiso escrito. Todas las demás marcas comerciales son propiedad de sus respectivos propietarios. Wiley Publishing, Inc. no está asociada con ningún producto o el proveedor mencionado en este libro.
A mi bella esposa y mi familia maravillosa; sin ustedes esto no habría sido posible. Mati, no hay palabras para describir la gratitud que siento por lo que has hecho.
Acerca del Autor Christopher Hadnagy es el principal desarrollador de Www.socialengineer.org , el primer marco de ingeniería social. En más de 14 años de seguridad y actividad, él se asoció con el equipo Www.backtrack-linux.org y trabajó en una amplia variedad de proyectos de seguridad. Él también sirve como entrenador y llevar ingeniero social a la ofensiva del equipo de pruebas de penetración.
Sobre el editor técnico Jim O'Gorman es un probador de penetración profesional y auditor de ingeniería social con más de 14 años de experiencia trabajando para compañías que van desde pequeños PSI a empresas Fortune 100. Jim es co-formador de la ofensiva de seguridad clase de explotación avanzada de Windows, uno de los más difíciles de explotar el desarrollo clases disponibles. Miembro fundador de Www.socialengineer.org , Jim es una autoridad en educar al público sobre las amenazas de ingeniería social.
Créditos Editor ejecutivo Carol largo Editor de proyectos Brian Herrmann Redactor técnico Jim O'Gorman Editor de Producción Kathleen Wisor Editor de contenido Paula Lowell Director Editorial Robyn B. Siesky Gerente editorial Mary Beth Wakefield Freelancer Editorial Manager Rosemarie Graham Director de Marketing Ashley Zurcher
Director de Producción Tim Tate Vicepresidente Ejecutivo y Editor de grupo
Richard Swadley Vice Presidente y Editor ejecutivo
Barry Pruett Editor Asociado Jim Minatel El coordinador del proyecto, cubierta Lynsey Stanford Compositor Maureen Forys, Happenstance Type-O-Rama
Corrector de pruebas Jen Larsen, una palabra Nueva York Indizador Johnna VanHoose Dinse Imagen de cubierta © Digital Vision/Getty Images Cover Designer Ryan Sneed
Prólogo La seguridad es un puzzle con dos lados. Desde el interior, buscamos un sentido de comodidad y seguridad. Desde el exterior, ladrones, piratas y vándalos busca huecos. La mayoría de nosotros creemos que nuestros hogares sean seguros, hasta que un día nos encontramos bloqueados. De repente, nuestra perspectiva cambia y debilidades son fáciles de encontrar. Para entender completamente cualquier tipo de seguridad es esencial paso fuera de la valla, en esencia encerrados, y empezar a buscar otras formas de acceso. El problema es que la mayoría de nosotros estamos cegados a posibles problemas por nuestra propia confianza o nuestra creencia de que los bloqueos fuertes, gruesas puertas, un sistema de seguridad de gama alta, y un perro guardián son más que suficientes para mantener a raya a la mayoría de la gente. Yo no soy la mayoría de la gente. En los últimos diez años he tirado más contras y estafas que nadie en la historia. He golpeado fingió casinos, eventos deportivos, subastas fijos, habló a la gente de su querida posesiones, y caminó derecho pasado aparentemente inmejorables niveles de seguridad. He hecho una vida exponer los métodos de ladrones, mentirosos, ladrones y estafadores en un popular programa de televisión llamado el verdadero ajetreo . Si hubiera sido un verdadero criminal probablemente me volvería a ser rico, famoso, o muertos, probablemente los tres. He utilizado toda una vida de investigación en todas las formas de engaño para enseñar al público lo vulnerables que son en realidad.
Cada semana, junto con Alexis Conran, me tire estafas reales sobre personas reales que no tienen idea de que están siendo estafados. Utilizando cámaras ocultas, mostramos a la audiencia en casa lo que es posible, por lo que puede reconocer la misma estafa. Esta inusual carrera ha resultado en una comprensión única de
cómo piensan los delincuentes. Me he vuelto una oveja en la vestimenta de los lobos. He aprendido que no importa cómo podría parecer algo imposible, hay casi siempre un ingenioso, inesperado para resolver el problema. Un ejemplo de esto es cuando me ofreció para mostrar lo fácil que sería no sólo robar un monedero de la mujer, sino también para obtener de ella para decirme el PIN para su ATM o tarjetas de crédito. La BBC no creía que era posible lograrlo.
Cuando hemos presentado esto como un elemento para el verdadero ajetreo , la BBC Comisionado escribió "nunca sucederá" junto a él y lo devolvió. Sabíamos que era perfectamente posible porque diferentes versiones de la misma estafa se había informado, donde las víctimas del robo fueron habló a revelar sus patillas en varias ingeniosas estafas por todo el Reino Unido. Tomamos elementos de distintas estafas para ilustrar exactamente cómo alguien podría ser engañado y dar a alguien el acceso completo a su cuenta bancaria. Para probar nuestro punto de vista hemos creado la estafa en un café local. El café estaba en el piso superior de un centro comercial en Oxford Street en Londres. Era relativamente tranquilo como me senté en una mesa vacía vistiendo un traje de negocios. He puesto mi maletín en la mesa y esperé una víctima adecuada. En unos instantes, tal víctima llegó con un amigo y se sentó a la mesa junto a la mía, colocando su bolso en el asiento a su lado. Como probablemente era su costumbre, sacó el asiento cercano y mantuvo su mano en el bolso en todo momento.
Necesitaba robar toda la bolsa, pero, con la mano apoyada en ella y su amiga sentado enfrente, ella estaba empezando a parecerse a malas noticias. Pero, después de unos minutos, su amiga salió a buscar un baño. La marca estaba solo, así que decidí Alex y Jess la señal. Tocar la parte de una pareja, Alex y Jess solicitó la marca si ella tomara una foto de ambos. Ella estaba feliz de hacerlo. Ella retiró su mano de su bolsa para llevar la cámara y tome una foto de la "pareja feliz" y, distraído, yo casualmente llegó a más, tomó su bolso, con calma y bloqueado en mi maletín. Mi víctima era todavía aviso la silla vacía como Alex y Jess salieron de la cafetería. Una vez fuera de la vista, Alex encabezada rápidamente por el garaje. No tomó mucho tiempo para darse cuenta de su bolso había desaparecido. Instantáneamente, ella comenzó a cundir el pánico. Ella se levantó y miró a su alrededor, frenéticamente. Esto era exactamente lo que estábamos esperando, le pregunté si necesitaba ayuda.
Ella empezó a preguntarme si yo había visto nada. Le dije que no había, pero la convenció para sentarse y pensar en lo que
había en la bolsa. Un teléfono. Maquillaje. Un poco de dinero. Y sus tarjetas de crédito. Bingo! Le pedí que se apilan con y luego le dije que trabajaba para el banco. Lo que un golpe de suerte! Yo le aseguró que todo estaría bien, pero ella tendría que cancelar su tarjeta de crédito inmediatamente. He llamado el "help-desk"
Número, que realmente fue Alex, y entregaron mi teléfono a ella. Ella estaba enganchado y que ahora correspondía a Alex para ella en el molinete. Alex estaba en la planta baja de la furgoneta. En el salpicadero, un reproductor de CD estaba jugando a ruidos de la oficina que habíamos descargado desde Internet. La marca se mantuvo en calma, distribuídos a lo largo de ella y, a continuación, le aseguró que su tarjeta puede ser fácilmente cancelado pero, para verificar su identidad, le necesita para introducir su PIN en el teclado del teléfono que está utilizando.
Mi teléfono y mi teclado. Se puede adivinar el resto. Una vez que tuvimos su PIN, me dejó con su amiga y se dirigió a la puerta. Si fuéramos verdaderos ladrones, habríamos tenido acceso a su cuenta a través de cajeros automáticos y compras con chip y PIN. Afortunadamente para ella, era simplemente un espectáculo de televisión y ella estaba tan feliz cuando regresé a devolver su bolso y decirle que todo era un fake scam. Ella incluso me dio las gracias por darle la vuelta a la bolsa que me respondió, "No me agradezcan a mí. Soy uno de los que robaron". No importa qué tan seguro es un sistema, siempre hay una manera romper. A menudo, los elementos humanos del sistema son más fáciles manipular y engañar. Crear un estado de pánico, utilizando tácticas influencia, manipulación o provocan sentimientos de confianza son todos métodos utilizados para poner a la víctima en la facilidad.
de de de los
El escenario descrito aquí es un ejemplo extremo, pero demuestra que, con un poco de creatividad, aparentemente imposible estafas pueden ser arrancado. El primer paso para convertirse en más segura es simplemente admitiendo que un sistema es vulnerable y puede verse comprometida. Por el contrario, creyendo una violación es imposible, se coloca una venda sobre los ojos mientras corres a toda velocidad. La ingeniería social está diseñado para proporcionarle información inestimable sobre los métodos utilizados para romper aparentemente sistemas seguros y exponer las amenazas que existen en la mayor vulnerabilidad, la gente. Este libro no
es una guía para los hackers, ya saben cómo romper y están encontrando formas nuevas cada día. En lugar de ello, Chris Hadnagy ofrece a quienes dentro de la valla una oportunidad para echar un vistazo desde el otro lado, el lado oscuro, como lo expone el pensamiento y los métodos del mundo la mayoría de los piratas informáticos, estafadores, y los ingenieros sociales. Recuerde: aquellos que construyen muros piensan de forma diferente a aquellos que buscan pasar por encima, por debajo, alrededor o a través de ellos. Como a menudo me dicen mis audiencias, si
Crees que no puedes ser estafado, sólo eres la persona que me gustaría conocer.
Paul Wilson Octubre de 2010
Prefacio y reconocimientos Fue hace unos pocos años que yo estaba sentado con mi amigo y mentor, Mati Aharoni, decide lanzar Www.social-engineer.org . La idea creció y creció hasta convertirse en un sitio increíble, apoyado por algunas personas realmente brillante. No tardara en llegar a la idea de poner esos años de investigación y experiencia en las páginas de un libro. Cuando tuve la idea, me contó con un apoyo abrumador. Dicho esto, algunos reconocimientos específicos son muy importantes para que este libro se convirtió en lo que es hoy. Desde muy joven siempre me interesó en manipular a la gente. Pero no en el mal sentido, pero me pareció interesante cómo muchas veces pude obtener cosas o estar en situaciones que sería irreal. Una vez que estuve con un buen amigo y asociado de negocios en una conferencia de tecnología en el Javits Center en la Ciudad de Nueva York. Una gran corporación había alquilado la FAO Schwarz para una fiesta privada. Por supuesto, el partido fue sólo por invitación, y mi amigo y yo estuvimos dos pequeños peces en un estanque grande: la fiesta fue para los CEOs y la alta dirección de empresas como HP, Microsoft y similares. Mi amigo me dijo, "Sería estupendo para entrar en esa parte".
Simplemente me respondió, "Why Can't We?" En ese momento pensé, "sé que podemos llegar allí si sólo pedimos la manera correcta " . Así que me acerqué a la mujer a cargo de la boletería y la lista de invitados y hablé con ellos durante unos minutos. Como yo estaba hablando con ellos, Linus Torvalds, el creador del kernel de Linux, caminó por. Yo había recogido un peluche de Microsoft en una de las cabinas y como yo digo en broma que volví a Linus y dice, "Hey, usted desea autógrafo mi juguete de Microsoft?".
Él consiguió una buena risa de él y lo agarró sus entradas dijo, "buen trabajo, joven. Voy a ver en el partido". Me volví a la mujer a cargo de la boletería y entregó dos entradas para una fiesta exclusiva dentro de la FAO Schwartz. No fue hasta más tarde en la vida, que comencé a analizar las historias como esta, después de que algunos comenzaron a llamar "el efecto Hadnagy." Tan
divertido como suena, comencé a ver que mucho de lo que ocurrió a mí no fue suerte o el destino, sino
Saber estar donde tenía que estar en el momento adecuado. Eso no significa que no se tome el trabajo duro y un montón de ayuda en el camino. Mi musa en la vida es mi esposa maravillosa. Durante casi dos décadas que me han apoyado en todas mis ideas y esfuerzos, y tú eres mi mejor amigo, mi confidente, mi apoyo y pilar. Sin ti yo no estaría donde estoy hoy. Además, se han producido dos de los niños más hermosa en este planeta. Mi hijo y mi hija son la motivación para seguir haciendo todo esto. Si hay algo que yo pueda hacer de este lugar un poco más seguro para ellos, o enseñarles cómo mantenerse seguro, es todo valga la pena.
A mi hijo y mi hija, no puedo expresar lo suficiente gratitud por su apoyo, amor y motivación. Mi esperanza es que mi hijo y mi pequeña princesa no tendrá que tratar con la maliciosa, gente mala en este mundo, pero sé lo difícil que es. Esta información puede mantener ambos un poco más seguro. Pablo, aka rAWjAW, gracias por todo su apoyo en el sitio web. Las miles de horas que pasó como "wiki-master" pagada y ahora tenemos un precioso recurso para el mundo. Sé que no puedo decir lo suficiente, pero Estás despedido!", combinado con la hermosa creación de Tom, aka DigIp, el sitio web es una obra de arte. Carol, mi editor en Wiley, trabajó su culo para obtener esta organizado y con cierta apariencia de una línea de tiempo. Ella hizo un trabajo increíble poniendo juntos un gran equipo de personas y hacer de esta idea una realidad. Gracias. Brian, quise decir lo que dije. Voy a echar de menos cuando esto se acabó. Como he trabajado con usted en los últimos meses empecé a mirar adelante a mis sesiones de edición y el conocimiento que supondría para mí. Su abogado franca y honesta y de asesoramiento formuladas este libro mejor de lo que era. Vaya mi agradecimiento a Jim, aka Elwood, también. Sin mucho de lo que ha sucedido en Social-engineer.org así como también dentro de este libro, heck en mi vida en los últimos años, no sería una realidad. Gracias por tenerme humilde y bajo control. Sus constantes comprobaciones de la realidad me ayudó a permanecer centrados y equilibrar los diferentes roles
que tuve que jugar. Gracias.
Liz, aproximadamente hace 12 años me dijo que debería escribir un libro. Estoy seguro de que había algo diferente en mente, pero aquí está. Me habéis ayudado a través de algunas veces bastante oscuras. Gracias y te amo.
Mati, mi mentor y mi achoti , dónde estaría yo sin ti? Mati, tú verdaderamente eres mi mentor y mi hermano. Gracias desde el fondo de mi corazón por tener fe en mí que yo podría escribir este libro y lanzar Www.social-engineer.org y que ambos serían buenos. Más que eso, su dirección y asesoramiento constante han sido traducidos en las páginas de este libro me hacen más de lo que yo pensaba que podía ser.
Tu apoyo con el BackTrack equipo junto con el apoyo del equipo de Www.offensive-security.com han trascendido todo lo que podía haber esperado. Gracias por ayudarme a equilibrar y priorizar. Mi achoti , un especial agradecimiento a usted por ser la voz de la razón y la luz al final de algunos días frustrantes. Con todo mi cariño le doy las gracias.
Cada persona que he mencionado aquí contribuyó a este libro de alguna manera. Con su ayuda, apoyo y amor en este libro se ha convertido en un trabajo que estoy orgulloso de tener mi nombre. Para el resto de ustedes que han apoyado el sitio, el canal, y nuestra investigación, gracias.
A medida que usted lea este libro, espero que le afecta la manera en que la escritura me ha afectado a mí. Albert Einstein dijo una vez, "la información no es conocimiento." Que es un poderoso pensamiento. Sólo la lectura de este libro no se implante de alguna manera este conocimiento en tu ser. Aplicar los principios, la práctica lo que se enseña en estas páginas, y hacer que la información de una parte de su vida diaria. Cuando hagas esto es cuando usted verá este conocimiento surtan efecto.
Christopher Hadnagy
Octubre de 2010
Capítulo 1
Una mirada al mundo de la ingeniería social
Si usted conoce al enemigo y conócete a ti mismo no necesitas temer el resultado de cien batallas. -Sun Tzu
La ingeniería social (SE) ha sido ampliamente incomprendida, que conducen a muchas opiniones divergentes sobre la ingeniería social ¿Qué es y cómo funciona. Esto ha llevado a una situación en la que algunos pueden ver SE como simplemente mintiendo a estafa artículos gratis trivial como pizza o la obtención de gratificación sexual; otros piensan que se hace referencia a las herramientas utilizadas por criminales o estafadores, o quizás que es una ciencia cuyas teorías pueden descomponerse en piezas o ecuaciones y estudiados. O quizás es un arte místico que perdió hace tiempo dando a los profesionales la posibilidad de utilizar trucos mente poderosa como un mago o ilusionista. En whatever campamento su bandera ondea, este libro es para usted. La ingeniería social es utilizado cada día por la gente común en situaciones de la vida cotidiana. Un niño tratando de conseguir su camino en el pasillo de caramelo o un empleado busca un raise es utilizando ingeniería social. Ingeniería social ocurre en el gobierno o small business marketing. Lamentablemente, también está presente cuando los delincuentes, estafadores, y como engañar a la gente a regalar la información que les hace vulnerables a los crímenes. Como cualquier herramienta, la ingeniería social no es bueno ni malo, sino simplemente una herramienta que tiene muchos usos diferentes.
Considere algunas de estas preguntas para que el punto de inicio: Le han encomendado para asegurarse de que su
empresa sea lo más segura posible? Es usted un entusiasta de la seguridad que lee cada bit de la información más reciente? Es usted un profesional probador de penetración que es contratado para probar el
La seguridad de sus clientes? ¿Es usted un estudiante universitario tomar algún tipo de especialización como su principal? Actualmente eres un ingeniero social buscando nuevas y mejores ideas para utilizar en la práctica? Es usted un consumidor que teme el riesgo de fraude y robo de identidad? Independientemente de cuál de esas situaciones se adapta a usted, la información contenida en este libro le abrirá los ojos a cómo puede utilizar técnicas de ingeniería social. También va a escudriñar en el oscuro mundo de la ingeniería social y aprender cómo los "chicos malos" utilizan estas habilidades para ganar una mano superior. Desde allí, aprenderá a ser menos vulnerables al desarrollo social
Ataques de ingeniería. Una advertencia: Este libro no es para los débiles. Te llevan a los rincones oscuros de la sociedad donde el "sombrero negro", los hackers malintencionados, vivir. Se descubre y profundiza en las áreas de ingeniería social que son empleadas por espías y estafadores. Revisa las tácticas y herramientas que parecen que son robados de una película de James Bond. Cubre, además, comunes, situaciones cotidianas y, a continuación, se muestra cómo son complejos escenarios de ingeniería social. Al final, el libro descubre el "insider" consejos y trucos de profesionales de los ingenieros sociales y sí, incluso los delincuentes profesionales. Algunos han preguntado por qué yo estaría dispuesto a revelar esta información. La respuesta es simple: los "chicos malos" no se detenga debido a una limitación contractual o su moral. No cesar después de un intento fallido. Los hackers malintencionados no desaparecen porque las compañías no les gusta sus servidores para ser infiltrado. En cambio, la ingeniería social, empleado el engaño y el fraude en Internet se utilizan más y más cada día. Mientras las compañías de software están aprendiendo cómo fortalecer sus programas, los hackers y los ingenieros sociales malintencionados están volviendo a la parte más débil de la infraestructura del pueblo. Su motivación es todo sobre el retorno de la inversión (ROI); no se auto-respeto hacker va a gastar 100 horas para obtener los mismos resultados a partir de un simple ataque que toma una
hora o menos. El triste resultado de la final es que no existe manera de ser 100% segura- a menos que desconecte todos los dispositivos electrónicos y trasladarse a las montañas. Porque eso no es muy práctico, ni es un montón de diversión, este libro analiza
Maneras de ser más conscientes y educados sobre los ataques hacia fuera allí y, a continuación, describe los métodos que puede utilizar para proteger contra ellos. Mi lema es "seguridad a través de la educación". siendo educados es uno de los pocos surefire formas de permanecer segura contra las crecientes amenazas de ingeniería social y robos de identidad. Kaspersky Labs, un proveedor líder de software de protección antivirus y, estima que más de 100.000 muestras de malware fueron difundidas a través de las redes sociales en 2009. En un reciente informe, Kaspersky estima que "los ataques contra las redes sociales son 10 veces más éxito" que otros tipos de ataques.
El viejo adagio de hackers, "conocimiento es poder" no se aplica aquí. El mayor conocimiento y comprensión de los peligros y las amenazas de ingeniería social cada consumidor y los negocios pueden tener y el más cada escenario de ataque se diseca, más fácil será para proteger de, mitigar y detener esos ataques. Ahí es donde el poder de todo este conocimiento vendrá.
¿Por qué este libro es tan valioso Muchos libros están disponibles en el mercado en seguridad, hacking, pruebas de penetración, e incluso la ingeniería social. Muchos de estos libros tienen muy valiosa información y consejos para ayudar a sus lectores. Incluso con toda la información disponible, era necesario un libro que toma información de ingeniería social al siguiente nivel y describe estos ataques en detalle, explicando desde el lado de la valla malicioso. Este libro no es simplemente una colección de historias frescas, aseado hacks, o ideas disparatadas. Este libro cubre el primer marco para la ingeniería social. Analiza y disecciona el fundamento mismo de lo que hace bueno a un ingeniero social y ofrece consejos prácticos sobre cómo utilizar estos conocimientos para mejorar la capacidad de los lectores para probar la mayor debilidad de la infraestructura humana .
El diseño Este libro ofrece un enfoque único a la ingeniería social. Está estructurado
en estrecha colaboración con la ingeniería social en profundidad encontrada en www.marco social-
Engineer.org/framework . En este marco se describen los conocimientos y las herramientas (físico, mental y personalidad) una persona debe esforzarse por poseer un excelente ingeniero social. Este libro adopta un enfoque de "decir y mostrar" por presentar primero un principio detrás de un tema y luego definir, explicar, y disección, mostrando su aplicación mediante colecciones de historias reales o estudios de caso. Esto no es simplemente un libro sobre historias o trucos muy útiles, pero un manual, una guía por el oscuro mundo de la ingeniería social. A lo largo de todo el libro, usted puede encontrar muchos enlaces de Internet con historias o cuentas, así como vínculos a herramientas y otros aspectos de los temas tratados. Ejercicios prácticos aparecen a lo largo del libro que están diseñados para ayudarle a dominar no sólo el marco de ingeniería social sino también las habilidades para mejorar sus comunicaciones diarias. Estas declaraciones son especialmente cierto si usted es un especialista en seguridad. A medida que usted lea este libro, espero poder convencer a usted de que la seguridad no es un "tiempo parcial" de trabajo y no es algo que pueda tomarse a la ligera. Como delincuentes y los ingenieros sociales malintencionados parecen ir de mal en peor en este mundo, los ataques a empresas y vidas personales parecen tener más intenso. Naturalmente, todo el mundo quiere estar protegido, como lo demuestra el aumento en las ventas de software y dispositivos de protección personal. Aunque estos elementos son importantes, la mejor protección es el conocimiento: la seguridad a través de la educación. El único camino verdadero para reducir el efecto de estos ataques es saber que existen, para saber cómo se hace, y para entender el proceso de pensamiento y de la mentalidad de las personas que hacen tales cosas. Cuando se posee este conocimiento y entender cómo los hackers malintencionados pensar, una bombilla de luz se apaga. Esa proverbial luz brillará a la vez oscurecido esquinas y le permiten ver claramente a los "chicos malos" que acechan allí. Cuando usted puede ver la forma en que estos ataques son utilizados antes de tiempo, puede preparar su empresa y tus asuntos personales para conjurarlos.
Por supuesto, no estoy contradiciendo lo que dije anteriormente, creo que no hay forma de que realmente sea 100% segura. Incluso top-secret, altamente secretos puede ser vigilado y han sido pirateadas en el más simple de los buenos modales.
Busca Archivad Histori En r En El o a www.socialesEngineer.org/resources/book/TopSecretStolen.htm , Un periódico desde en
Ottawa, Canadá. Esta historia es muy interesante, porque algunos documentos acabaron en manos equivocadas. Estos no solo estaban los documentos, pero top-secret defensa documentos que describían cosas tales como ubicaciones de vallas de seguridad en la base de las Fuerzas Canadienses (CFB) en Trenton, el plano de planta de la Unidad de Respuesta ante Incidentes mixto canadiense, y mucho más. ¿Cómo la violación ocurre? Los planes fueron tirados en la papelera, y alguien encontró en el basurero. Un simple contenedor dive podría haber conducido a uno de que las infracciones de seguridad más grande del país. Sencillo pero mortíferos ataques son lanzados cada día y apuntan al hecho de que la gente necesita educación; la necesidad de cambiar la forma en que se adhieren a las directivas de contraseña y la forma en que manejan el acceso remoto a los servidores; y la necesidad de cambiar la forma en que manejan las entrevistas, entregas y empleados que son contratados o despedidos. Sin embargo, sin educación, la motivación para el cambio simplemente no está allí.
En 2003, el Instituto de Seguridad Informática realizó una encuesta junto con el FBI y encontró que el 77% de las empresas entrevistadas indicó que un empleado descontento como origen de una brecha de seguridad importante. Vontu, la sección de prevención de pérdida de datos de Symantec ( Http://go.symantec.com/vontu/ ), dice que 1 de cada 500 correos electrónicos contiene datos confidenciales. Algunos de los aspectos más destacados del informe citado de Http://financialservices.house.gov/media/pdf/062403ja.pdf , son como sigue:
El 62% informaron de incidentes en el trabajo que podría poner en riesgo los datos de los clientes para el robo de identidad. El 66% dicen que sus compañeros, no a los piratas, representan el mayor riesgo para la privacidad del consumidor. Sólo el 10% dijo que los hackers eran la mayor amenaza.
El 46% dicen que sería "fácil" o "muy fácil" para los trabajadores para eliminar datos confidenciales de la base de datos corporativa.
El 32%, aproximadamente uno de cada tres, no son conscientes de las políticas internas de empresa para proteger los datos del cliente. Estos son asombrosas y estómago-wrenching estadísticas. Los capítulos posteriores discutir estos números en más detalle. Los números muestran un grave defecto en la forma en que se maneja la seguridad por sí misma. Cuando hay educación, esperemos que antes de un incumplimiento, las personas pueden hacer cambios que pueden prevenir la pérdida no deseada, dolor y daños monetarios.
Sun Tzu dijo, "Si usted conoce al enemigo y conócete a ti mismo no necesitas temer el resultado de cien batallas." cómo esas palabras son verdaderas, pero sabiendo que es sólo la mitad de la batalla. La acción sobre el conocimiento es lo que define a la sabiduría, no sólo los conocimientos por sí solos. Este libro es más eficaz utilizado como un manual o guía a través del mundo de ataques sociales, la manipulación social y la ingeniería social.
Cuáles son los próximos Este libro está diseñado para cubrir todos los aspectos, las herramientas y las habilidades usadas por profesionales y los ingenieros sociales malintencionados. Cada capítulo profundiza en la ciencia y el arte de una determinada habilidad de ingeniería social para mostrarle cómo puede ser utilizado, mejorado y perfeccionado. La siguiente sección de este capítulo, "Visión general de la ingeniería social", define la ingeniería social y qué papel desempeña en la sociedad de hoy, así como los diferentes tipos de ataques de ingeniería social, incluidas otras esferas de la vida donde la ingeniería social es usado en una manera no malintencionada. También se discutirá cómo un ingeniero social puede utilizar el marco de ingeniería social en la planificación de una auditoría o mejorar sus propias capacidades. El capítulo 2 es donde la verdadera esencia de la experiencia comienza. La recopilación de información es la base de cada auditoría de ingeniería social. El ingeniero social del mantra es, "soy tan bueno como la información que recopilan." Un ingeniero social puede poseer todas las habilidades en el mundo, pero si él o ella no conoce el destino, si el ingeniero social no ha esbozado cada íntimo detalle, entonces la probabilidad de fracaso es más probable que ocurra. Recogida de información es el quid de todo compromiso de ingeniería social, aunque la gente las aptitudes y la capacidad de pensar en sus pies puede ayudarle a salir de una situación pegajosa. Más a menudo que no, cuanta más información se recopile, mejores serán sus
probabilidades de éxito. Las preguntas que voy a responder en este capítulo son los siguientes:
Qué fuentes pueden usar un ingeniero social? ¿Qué información es útil? ¿Cómo puede un ingeniero social recoger, reunir y organizar esta información?
¿Cómo debería una técnica de ingeniería social? ¿Cuánta información es suficiente? Después de analizar la información recogida, el siguiente tema se abordan en el capítulo 2 es la comunicación de modelado. Este tema estrechamente ligado con la recopilación de información. Primero voy a discutir qué modelos de comunicación y cómo comenzó como una práctica. A continuación, el capítulo, camina a través de los pasos necesarios para desarrollar y usar un modelo de comunicación adecuado. Se describe cómo un ingeniero social utiliza este modelo contra un objetivo y los beneficios en la esquematización para cada compromiso.
El capítulo 3 trata de la obtención, el siguiente paso lógico en el marco. Ofrece un análisis en profundidad de cómo se utilizan preguntas para obtener información, contraseñas, un conocimiento en profundidad de la meta, y de su empresa. Usted aprenderá lo que es bueno y correcto de la obtención y aprender cuán importante es tener tu elicitations planificados. El capítulo 3 abarca también el importante tema de la pretensión del destino cuenta con información para hacer sus preguntas más fácilmente aceptados. Como usted desentrañar en esta sección podrás ver claramente cuán importante es para convertirse en un excelente elicitor. También podrá ver claramente cómo puede usar esta habilidad, no sólo en sus prácticas de seguridad sino también en la vida cotidiana. El capítulo 4, que cubre pretexting, es muy poderoso. Este tema denso es uno de los puntos críticos para muchos ingenieros sociales. Pretexting implica desarrollar el papel del ingeniero social desempeñará durante el ataque a la empresa. El ingeniero social va a ser un cliente, vendedor, soporte técnico, nuevos coches, o algo igualmente realista y creíble? Pretexting involucra no sólo viene con la historia, sino también el desarrollo de la forma en la que tu personaje se vería, actuar, hablar, caminar; decidir qué herramientas y conocimientos que hubiera; y luego dominar el paquete entero, así que cuando te acercas a la meta, que es esa persona, y no simplemente jugar con un personaje. Las preguntas incluyen los siguientes:
Qué es el pretexting? ¿Cómo se puede desarrollar un pretexto? ¿Cuáles son los principios de éxito de un pretexto? ¿Cómo puede un ingeniero social plan y luego ejecutar el pretexto perfecto?
El próximo paso en el marco es uno de los que puede llenar volúmenes. Sin embargo, debe ser abordado desde el punto de vista de un ingeniero social. El capítulo 5 es un no-tiene prohibido el debate sobre algunos temas muy conflictivo, incluido el de tacos de ojo . Por ejemplo, ¿cuáles son las diversas opiniones de algunos profesionales sobre tacos de ojo, y cómo puede un ingeniero social usarlos? El capítulo también se adentra en la fascinante ciencia de microexpressions y sus implicaciones en la ingeniería social.
Capítulo 5 va en el análisis de la investigación, dando respuestas a estas preguntas: Es posible usar microexpressions en el campo de la seguridad?
¿Cómo lo haría? ¿Qué beneficios son microexpressions? La gente puede entrenarse para aprender a recoger en microexpressions automáticamente? Después hacemos la formación, ¿qué información se obtiene a través microexpressions? Probablemente uno de los temas más debatidos en en el capítulo 5 se neurolinguistic programming (NLP). El debate tiene muchas personas indeciso sobre qué es y cómo puede utilizarse. El capítulo 5 presenta una breve historia de la PNL, así como lo que hace la PNL tal controversia. Usted puede decidir por sí mismo si la pnl es utilizable en la ingeniería social.
El capítulo 5 discute también uno de los aspectos más importantes de la ingeniería social en persona o por teléfono: saber hacer buenas preguntas, escuchar las respuestas y, a continuación, hacer más preguntas. Los interrogatorios y las entrevistas son dos métodos que la ley ha utilizado durante años para manipular los delincuentes a confesar, así como a resolver los casos más difíciles. Esta parte del capítulo 5 pone en práctica los conocimientos adquiridos en el Capítulo 3. Además, en el capítulo 5 se explica cómo construir una habilidad de comunicación instantánea se puede usar en la vida diaria. El capítulo termina cubriendo mi propia investigación sobre el "desbordamiento de
buffer" humana: la noción de que la mente humana es muy similar al software que los piratas informáticos aprovechan cada día. Mediante la aplicación de ciertos principios, un ingeniero social calificado puede desbordar la mente humana e inyectar
Cualquier comando que desee. Al igual que los hackers escribir desborda para manipular el software para ejecutar código, la mente humana puede ser dado ciertas instrucciones para, en esencia, el objetivo de "desbordamiento" e insertar instrucciones personalizadas. El capítulo 5 es un alucinante lección de cómo utilizar algunas técnicas sencillas para dominar cómo la gente piensa.
Muchas personas han dedicado toda su vida a la investigación y demostrando lo que puede influir en la gente. La influencia es una poderosa herramienta con muchas facetas. Con este fin, el capítulo 6 explica los fundamentos de la persuasión. Los principios involucrados en el capítulo 6 se iniciará en el camino hacia convertirse en un maestro de la persuasión.
El capítulo presenta una breve descripción de los diferentes tipos de persuasión que existen y proporciona ejemplos para ayudar a solidificar cómo puede utilizar estas facetas de la ingeniería social. La discusión no se detiene allí: encuadre es también un tema candente hoy en día. Existen muchas opiniones diferentes sobre cómo puede utilizar un encuadre, y este libro muestra algunos ejemplos de la vida real. A continuación, diseccionando cada uno, yo le llevará a través de las lecciones aprendidas y las cosas que usted puede hacer para practicar reformulando usted mismo, así como el uso de encuadre en la vida cotidiana como un ingeniero social.
Otro gran tema de la ingeniería social es manipulación :
¿Cuál es su propósito? ¿Qué tipos de incentivos drive manipuladores? ¿Cómo una persona puede utilizarlo en ingeniería social? El capítulo 6 presenta todo un ingeniero social necesita saber sobre el tema de la manipulación y cómo aplicar con éxito esas aptitudes. El capítulo 7 abarca las herramientas que pueden hacer una auditoría de ingeniería social más exitoso. Desde las herramientas físicas, tales como cámaras ocultas para softwares de herramientas de recopilación de información, cada sección cubre
probadas y comprobadas las herramientas para los ingenieros sociales. Una vez que usted entienda el marco de ingeniería social, el capítulo 8 trata de algunos estudios de casos de la vida real. He elegido dos excelentes cuentas del mundialmente famoso ingeniero social Kevin Mitnick. Puedo analizar, diseccionar y, a continuación, proponer lo que se puede aprender de estos ejemplos e identificar los métodos que usaba en el marco de ingeniería social.
Por otra parte, puedo hablar de lo que se puede aprender de sus vectores de ataque, así como de la forma en que pueden ser utilizados hoy en día. Discuto algunas cuentas personales y diseccionar, como bien. Lo guía de ingeniería social estaría completo sin examinar algunas de las maneras en que se puede mitigar estos ataques? El apéndice proporciona esta información. Puedo responder algunas preguntas comunes sobre mitigación y dar algunas sugerencias excelentes para ayudar a asegurar que usted y su organización contra estos ataques maliciosos. La descripción anterior es sólo una muestra de lo que está por venir. Realmente espero que disfruten de la lectura de este libro tanto como he disfrutado escribiendo. La ingeniería social es una pasión para mí. Creo que hay ciertos rasgos, ya sea adquirida o inherentes, que puede hacer que alguien sea un gran ingeniero social. Yo también suscribirse a la creencia de que con suficiente tiempo y energía cualquiera puede aprender los diferentes aspectos de la ingeniería social y, a continuación, practicar estas habilidades para convertirse en un experto ingeniero social.
Los principios de este libro no son nuevas; no hay ninguna tecnología alucinantes que verás que cambiará el rostro de la seguridad para siempre. No hay pastillas mágicas. Como cuestión de hecho, los principios han sido alrededor para mientras haya gente. Este libro lo que hace es combinar todos estos conocimientos en una sola ubicación. Sí da una orientación clara sobre cómo practicar estas habilidades, así como ejemplos de situaciones de la vida real donde se utilizan. Toda esta información puede ayudarle a obtener un verdadero sentido de comprensión de los temas tratados.
El mejor lugar para comenzar es con los conceptos básicos, contestando a una pregunta fundamental: ¿Qué es la "ingeniería social"? Descripción general de la ingeniería social
¿Qué es la ingeniería social? Una vez le pregunté a esta pregunta a un grupo de entusiastas de la seguridad y me asombré al ver las respuestas que he recibido: "La ingeniería social es mentir a la gente para obtener información." "La ingeniería social es ser un buen actor".
"La ingeniería social es saber cómo conseguir cosas gratis". Wikipedia lo define como "el acto de manipular a la gente a realizar acciones o divulgar información confidencial. Aunque es similar a un truco de confianza o simple fraude, el término se aplica normalmente a engaño o engaño con el propósito de recopilar información, fraude o sistema informático el acceso; en la mayoría de los casos el agresor nunca viene cara a cara con la víctima".
Aunque se ha dado un mal nombre por la plétora de "pizza libre", "café gratis", y "cómo recoger los polluelos" sitios, aspectos de ingeniería social realmente tocar muchas partes de la vida diaria. El diccionario Webster define como "social de o referentes a la vida, el bienestar y las relaciones de los seres humanos en una comunidad." También define la ingeniería como "el arte o la ciencia de hacer que la aplicación práctica de los conocimientos de las ciencias puras, como la física o química, como en la construcción de motores, puentes, edificios, minas, barcos y plantas químicas o hábil o ingenioso artificio; maniobrar". Combinando estas dos definiciones puede ver fácilmente que la ingeniería social es el arte o mejor aún, la ciencia, la de maniobras hábilmente los seres humanos a actuar en algún aspecto de sus vidas. Esta definición amplía los horizontes de los ingenieros sociales de todo el mundo. La ingeniería social es utilizado en la vida cotidiana de la manera en que los niños reciben de sus padres a ceder a sus exigencias. Es usado en el modo en que los profesores interactuar con sus alumnos, en la forma en que los médicos, abogados, psicólogos o obtener información de sus pacientes o clientes. Definitivamente es utilizado en la aplicación de la ley, y en dating-es realmente utilizada en cada interacción humana, desde bebés hasta los políticos y todos los que se encuentran en el medio. Me gusta tomar esa definición un paso más allá y diría que una verdadera definición de la ingeniería social es el acto de manipular a una persona a realizar una acción que puede o no estar en el "objetivo" del
mejor interés. Esto puede incluir la obtención de información, acceso, o conseguir la meta a adoptar ciertas medidas. Por ejemplo, médicos, psicólogos, terapeutas y a menudo utilizan elementos que considero la ingeniería social para "manipular" a sus pacientes a tomar acciones que son buenas para ellos, mientras que un estafador utiliza elementos de ingeniería social para convencer a su destino para tomar acciones que conduzcan a la pérdida de ellos. Aunque el final del juego es muy diferente, el enfoque puede ser en gran medida la misma. Un
Psicólogo pueden usar una serie de preguntas bien concebido para ayudar a los pacientes que llegan a la conclusión de que el cambio es necesario. Análogamente, un estafador utilizará preguntas bien elaboradas para mover su destino en una posición vulnerable. Estos dos ejemplos son la ingeniería social en su forma más auténtica, pero tienen objetivos muy diferentes y los resultados. La ingeniería social no es sólo acerca de engañar a la gente o acostado o actuando de una pieza. En una conversación que tuve con Chris Nickerson, un conocido ingeniero social de la serie de TV Tiger Team, dijo, "la verdadera ingeniería social no es solo creer que está jugando un papel, pero para ese momento usted es esa persona, eres ese papel, es lo que tu vida es".
La ingeniería social no es sólo una acción cualquiera, sino una colección de las competencias mencionadas en el marco que cuando juntos conforman la acción, la habilidad y la ciencia I llamada ingeniería social. De la misma manera, una maravillosa comida no es sólo un ingrediente, pero está compuesta por la cuidadosa combinación, mezcla y adición de muchos ingredientes. Así es como me imagino la ingeniería social, y un buen ingeniero social es como un maestro cocinero. Poner en un pequeño toque de obtención, agregar un agitar de manipulación, y echando unos puñados de pretexting, y bam! -sale un gran comida del ingeniero social perfecta. Por supuesto, este libro analiza algunas de estas facetas, pero el principal foco de atención es lo que se puede aprender de la aplicación de la ley, los políticos, los psicólogos, e incluso a los niños a mejorar sus habilidades para auditar y, a continuación, asegure usted mismo. Analizar cómo un niño puede manipular un padre tan fácilmente el ingeniero social da una visión sobre cómo funciona la mente humana. Notar cómo un psicólogo frases preguntas puede ayudar a ver qué lleva a la gente a gusto. Notar cómo un agente encargado del cumplimiento de la ley realiza una exitosa entrevista ofrece una ruta clara sobre cómo obtener información de un destino. Viendo cómo los gobiernos y políticos frame sus mensajes para el mayor impacto puede mostrar qué funciona y qué no funciona. Analizar cómo un actor se mete en un papel pueden abrir sus ojos al mundo asombroso de pretexting. Por disección de las investigaciones y los trabajos de algunas de las mentes destacadas en
microexpressions y persuasión puede ver cómo utilizar estas técnicas de ingeniería social. Revisando algunas de las motivaciones de algunos de los vendedores más grandes del mundo y la persuasión expertos puede aprender a construir una relación, poner a la gente a gusto y cerrar tratos.
A continuación, mediante la investigación y el análisis de la otra cara de la moneda de los estafadores, estafadores y ladrones- puede aprender todas estas habilidades se unen para influenciar a la gente y mover a la gente en direcciones pensaron que nunca iría. Mezclar este conocimiento con las habilidades de bloqueo picks, espías que utilizan cámaras ocultas, y recolectores de información profesional y tiene un talentoso ingeniero social. No utilice cada una de estas habilidades en cada combate, ni puede maestro cada una de estas habilidades. Por el contrario, en la comprensión de cómo funcionan estas habilidades y cuándo utilizarlos, cualquiera puede ser un maestro en la ciencia de la ingeniería social. Es cierto que algunas personas tienen un talento natural, como Kevin Mitnick, que podía hablar a nadie en nada, parece. Frank Abagnale Jr., parecía tener el talento natural para engañar a la gente haciéndoles creer que fue él quien quiso creer que era él. Victor Lustig hizo el increíble, realmente convencer a algunas personas que tenía los derechos para vender la Torre Eiffel, solamente superada por su estafa de Al Capone. Estos ingenieros sociales y muchos más como ellos parecen tener talento natural o una falta de miedo que les permite probar cosas que la mayoría de nosotros nunca consideraríamos intentando. Lamentablemente, en el mundo de hoy, los hackers están constantemente mejorando sus habilidades en la manipulación de personas y maliciosos ataques de ingeniería social son cada vez mayores. DarkReading publicó un artículo ( www.darkreading.com/database_security/security/attacks/showArticle.jhtml? articleID=226200272 ) que cita que las infracciones de datos han alcanzado entre $1 y $53 millones de dólares por infracción. Citando la investigación realizada por el Instituto Ponemon DarkReading afirma, "Ponemon descubrió que transmitidas por Web, código malicioso, ataques maliciosos y ejecutivos se encuentran los tipos de ataques más costosos, más del 90 por ciento de todos los gastos por organización de ciberdelincuencia por año: un ataque basado en la Web cuesta $143,209; código malicioso, $124,083; y insiders maliciosos: 100.300 dólares." insiders Maliciosos están enumerados en la parte superior tres sugiere que las empresas necesitan ser más conscientes de las amenazas de ingeniería social maliciosa, incluso de parte de los empleados.
Muchos de estos ataques podrían haberse evitado si las personas fueron educados, porque podrían actuar en esa educación. A veces, simplemente averiguar cómo
Pensar y actuar de las personas malintencionadas pueden ser una revelación. Como ejemplo a mucha menor escala y más personal, hace poco estuve discutiendo con un amigo cercano de sus cuentas financieras y cómo le preocupaba estar hackeado o engañados. En el transcurso de la conversación que empezamos a discutir qué fácil es "adivinar" las contraseñas del pueblo. Le dije que muchas personas utilizan las mismas contraseñas para cada cuenta; he visto su rostro ir blanco como ella se dio cuenta de esto es ella. Le dije que la mayoría de la gente usa contraseñas simplista que combinan cosas como el nombre de su pareja, su cumpleaños, aniversario o fecha. Me vio pasar una sombra cada vez más luminoso de Pale. Me siguió diciendo que la mayoría de las veces la gente eligió el más sencillo "Pregunta de seguridad", tales como "el (o el nombre de soltera de la madre)" y lo fácil que es encontrar información a través de Internet o de unas pocas llamadas de teléfono falsos. Mucha gente va a mostrar esta información en Blippy, Twitter o cuentas de Facebook. Este amigo no utilizar los sitios de medios sociales demasiado, así que le pregunté que si pensaba que con unas pocas llamadas de teléfono ella misma imagen podría entregar esta información. Por supuesto, ella le dijo que no. Para ilustrar cómo la gente fácilmente entregar información personal, le dije que una vez vi un póster en un restaurante que tenía un cupón de descuento de $50 para un campo de golf local-una oferta muy atractiva. Para aprovechar esta oferta, sólo tenían que proporcionar su nombre, fecha de nacimiento y la dirección de la calle, y que proporcione una contraseña para una cuenta que sería creado y enviado a su dirección de correo electrónico. (sólo he notado esto en primer lugar porque alguien había comenzado a rellenar el cupón y lo dejó sobre la mesa.) Cada día se crean sitios web para recopilar tal información confidencial.
Una llamada telefónica con una encuesta o rápidamente algunas investigaciones en Internet puede dar una fecha de nacimiento o fecha de aniversario, y armado con esta información tengo suficiente para construir un ataque de contraseña lista. Además, una docena de sitios ofrecen registros detallados de todo tipo de información personal
sobre una persona por sólo $9 - $30 USD. Dándose cuenta de cómo los ingenieros sociales malintencionados estafadores pensar, cómo reaccionar a la información, y cómo estafadores intentará algo, puede ayudar a las personas a ser más conscientes de lo que está sucediendo a su alrededor. Un equipo de entusiastas de la seguridad y he recorrido el Internet recopilación de historias que muestran muchos aspectos diferentes de la ingeniería social. Estos
Historias puede ayudar a contestar una pregunta fundamental"cómo se utiliza la ingeniería social en la sociedad a lo largo del tiempo?" y ver dónde está el lugar de ingeniería social y cómo se utilizan con fines malintencionados. La ingeniería social y su lugar en la sociedad Como ya se ha discutido la ingeniería social puede ser utilizado en muchas áreas de la vida, pero no todos estos usos son maliciosas o mal. Muchas veces se puede utilizar la ingeniería social para motivar a una persona para que realice una acción que es bueno para ellos. ¿Cómo? Piensen en esto: John necesita para perder peso. Él sabe que está enfermo y necesita hacer algo al respecto. Todos los amigos de Juan tienen sobrepeso, demasiado. Incluso hacer chistes sobre las alegrías de sobrepeso y dicen cosas como, "Me encanta no preocuparme por mi figura." Por un lado, este es un aspecto de la ingeniería social. Es prueba social o el consenso, cuando lo encuentres o consideren aceptable es determinada por aquellos que le rodean. Porque John's estrechas asociaciones ver el sobrepeso como aceptables, es más fácil para John a aceptarla. Sin embargo, si uno de esos amigos a perder peso y a no ser crítico pero fue motivada para ayudar, existe la posibilidad de que John's marco mental acerca de su peso podría cambiar y él podría comenzar a sentir que perder peso es posible y bueno.
Este es, en esencia, la ingeniería social. Así que usted puede ver claramente cómo la ingeniería social encaja en la sociedad y en la vida diaria, en las siguientes secciones se presentan algunos ejemplos de ingeniería social, fraude y manipulación y un examen de la forma en que trabajaban.
El timo 419 El timo 419, mejor conocido como el timo nigeriano, ha crecido hasta convertirse en una epidemia. Usted puede encontrar una historia archivada y el artículo sobre esta estafa en www.socialengineer.org/wiki/archives/ConMen/ConMen-Scam-
NigerianFee.html . Básicamente un correo electrónico (o como más tarde, una carta) llega a la meta diciéndole que ha sido señalado por un muy lucrativo contrato y todo lo que tiene que hacer es ofrecer un poco de ayuda. Si la víctima ayudará al extraer un gran emisor de carta
Suma de dinero de los bancos extranjeros que puede tener un porcentaje. Después de que el destino es seguro y "señales", surge un problema que causa el destino a pagar un canon. Después de la cuota se paga otro problema viene junto con otra tarifa. Cada problema es "la última" con "una cuota final" y esto puede ser estirada durante muchos meses. La víctima no ve ningún dinero y pierde desde $10.000-$50.000 USD en el proceso. Lo que hace esta estafa tan impresionante es que en el pasado, los documentos oficiales, documentos, membrete, e incluso las reuniones cara a cara han sido reportados. Recientemente una variante de esta estafa ha aparecido en donde las víctimas son literalmente envió una comprobación real. Los estafadores prometen una enorme suma de dinero y quieren a cambio sólo una pequeña parte de sus esfuerzos. Si el destino de transferencia tendrá una pequeña suma (en comparación) de 10.000 dólares, cuando reciban el cheque prometido pueden depositar el cheque y quedarse con la diferencia. El problema es que la casilla que viene es un fraude y cuando la víctima va a efectivo que ella es abofeteado con verificar cargos por fraude y multas, en algunos casos, después de que la víctima haya ya cableada dinero al estafador. Esta estafa tiene éxito porque juega en la víctima de la avaricia. Que no daría a $10,000 para hacer $1,000,000 o incluso 100.000 dólares? La mayoría de las personas inteligentes. Cuando estas personas se presentan con documentos oficiales, pasaportes, recibos, e incluso oficinas oficiales con "el personal del gobierno", entonces su creencia es establecer y van a las grandes longitudes para completar el proyecto. Compromiso y coherencia desempeñar un papel en esta estafa así como obligación. Analizo estos atributos en mayor detalle en los capítulos posteriores y, cuando lo haga, verá por qué esta estafa es tan poderoso.
El poder de la escasez El artículo
Archivado
www.socialesEngineer.org/wiki/archives/Governments/GovernmentsFoodElectionWeapon.html habla de un principio denominado
en :
escasez . La escasez es cuando a la gente se le dijo algo que necesitan o quieren tiene una disponibilidad limitada y conseguir que éstos deben cumplir con una determinada actitud o acción. Muchas veces la conducta deseada no es ni siquiera hablado, pero la forma en que se transmite es por mostrar a las personas que están actuando "correctamente" obteniendo recompensas.
El artículo habla acerca de la utilización de los alimentos para ganar las elecciones en Sudáfrica. Cuando un grupo o persona no admite el "derecho" dirigente, los alimentos escasean y los trabajos una vez que la gente se había dado a otros que son más favorables. Cuando la gente vea en acción, no se tarda mucho para ponerlos en línea. Este es un muy maliciosa e hiriente forma de ingeniería social, pero, sin embargo, uno para aprender. A menudo es el caso de lo que la gente quiere es escasa y no harán nada si se llevan a creer que ciertas acciones les hará perder sobre esos temas. ¿Qué hace que algunos casos incluso peor, como en el ejemplo anterior, es que el gobierno tomó algo necesario para la vida y es "escasa" y sólo está disponible para los partidarios de una maliciosa, pero muy eficaz, manipulación táctica.
El Dalai Lama y la ingeniería social En El Interesante Artículo Archivado www.socialesDetalles engineer.org/wiki/archives/Spies/SpiesDalaiLama.html un ataque realizado por el Dalai Lama en 2009. Un grupo de hackers chinos quería acceder a los servidores y archivos en la red propiedad del Dalai Lama. ¿Qué métodos se utilizaron en este ataque exitoso? Los atacantes convencido al personal de la oficina en la oficina del Dalai Lama para descargar y abrir el software malicioso en sus servidores. Este ataque es interesante porque combina la tecnología y la ingeniería social hacking. El artículo señala: "El software se adjunta a los e-mails que supuestamente proceden de colegas o contactos en el movimiento tibetano, según el investigador Ross Anderson, profesor de ingeniería de seguridad en el Laboratorio de Informática de la Universidad de Cambridge, citado por The Washington Times el lunes. El software robaron contraseñas y otra información, que a su vez dio a los hackers el acceso a la oficina del sistema de correo electrónico y documentos almacenados en equipos allí".
La manipulación fue utilizado, así como los vectores de ataque más comunes como el phishing (la práctica de enviar emails con tentadores mensajes y vínculos o archivos que deben estar abiertos para recibir más información; a menudo los
Vínculos o archivos llevan a cargas maliciosas) y de la explotación. Este ataque puede trabajar y ha trabajado contra las grandes corporaciones, así como de los gobiernos. Este ejemplo es sólo uno de una gran cantidad de ejemplos donde estos vectores causan enormes daños. Robo de empleados El tema de los robos a los empleados podrían llenar volúmenes, especialmente a la luz de la asombrosa estadística encontrada en www.socialengineer.org/wiki/archives/DisgruntledEmployees/DisgruntledEmployeesEmployeeTheft.html que más del 60 por ciento de los empleados entrevistados admitió a tomar datos de un tipo u otro de sus empleadores. Muchas veces este dato es vendida a competidores (como sucedió en esta historia de un empleado de Morgan Stanley: www.socialengineer.org/wiki/archives/DisgruntledEmployees/DisgruntledEmployeesMorganStanley.html ). Otras veces el robo es empleado en el tiempo u otros recursos; en algunos casos un empleado descontento puede causar grandes daños. Yo una vez hablé con un cliente sobre políticas de descarga empleado, cosas como la desactivación de tarjetas-llave, desconectando las cuentas de la red, y escoltar a trabajadores despedidos fuera del edificio. La empresa considera que todo el mundo era parte de la "familia" y que esas políticas no se aplican. Lamentablemente, llegó el momento de dejar ir de "Jim", una de las personas de alto rango en la empresa. El "despido" salió bien; fue amigable y Jim dijo entender. La una cosa que la empresa no tenía derecho a manejar los disparos alrededor de la hora de cierre para evitar la vergüenza y la distracción. Las manos se estremeció y luego Jim pidió a la fatídica pregunta, "¿Puedo tomar una hora para limpiar mi escritorio y tomar algunas fotos personales de mi ordenador? Me dirigiré mi tarjetallave en el guardia de seguridad antes de que salga". Sentirse bien acerca de la reunión, todos ellos acordadas rápidamente y la izquierda con sonrisas y unas cuantas risas. A continuación, Jim se dirigió a su
oficina, repleta de una caja de todos sus artículos personales, tomaron las fotos y otros datos de su ordenador, conectado a la red y limpios de 11 servidores de los datos de los registros de contabilidad, nóminas, facturas, pedidos, historia, gráficos y mucho mas
Eliminados en cuestión de minutos. Jim se convirtió en su tarjeta clave como prometió y Calmadamente salió del edificio con ninguna prueba de que él era el único para iniciar estos ataques. A la mañana siguiente una llamada vino a mí desde el propietario describiendo las matanzas en la ex-empleado's wake. Esperando una bala de plata, el cliente no tuvo más remedio que intentar recuperar lo que podría ser recuperado por un forense y empezar de nuevo desde las copias de seguridad, que fueron más de dos meses de edad.
Un empleado descontento que queda desactivada puede ser más devastador que un determinado equipo de cualificados y los hackers. A la suma de $15 mil millones de dólares, que es lo que la pérdida se estima en las empresas en los EE.UU. solamente debido a robos a los empleados. Estas historias pueden dejar una pregunta sobre las diferentes categorías de los ingenieros sociales están ahí y si pueden ser clasificados.
Y el Maestro Splynter DarkMarket En 2009 se rompió una historia acerca de un grupo llamado DarkMarket subterráneos el llamado eBay para criminales, un grupo muy apretado que comerciaron números de tarjetas de crédito robadas y el robo de identidad de las herramientas, así como los elementos necesarios para hacer las credenciales falsas y mucho más. Un agente del FBI con el nombre de J. Keith Mularski quebraron deep cover y se infiltraron en el sitio DarkMarket. Después de un tiempo, Agente Mularski fue hecho un administrador del sitio. A pesar de que muchos intentan desacreditarlo colgado en más de tres años como administrador del sitio. Durante este tiempo, Mularski tuvo que vivir como un hacker malicioso, hablar y actuar como uno, y pensar como uno. Su pretexto fue uno de un spammer malicioso y él era conocedor lo suficiente para
sacarlo. Su pretexto y sus habilidades de ingeniería social pagado porque el agente infiltrado Mularski DarkMarket como el infame Capitán Splynter, y después de tres años fue esencial para apagar un enorme anillo de robo de identidad. Los tres años de la ingeniería social operación encubierta capturó 59 arrestos e impidieron a más de 70 millones de dólares en fraudes bancarios. Este es sólo un ejemplo de cómo la ingeniería social habilidades pueden ser usadas para el bien.
Los diferentes tipos de ingenieros sociales Como se ha comentado anteriormente, la ingeniería social puede tomar muchas formas. Puede ser malicioso y puede ser amable, se acumula y puede romper. Antes de pasar al núcleo de este libro, eche un vistazo a las diferentes formas de los ingenieros sociales y una breve descripción de cada uno:
Los hackers: los proveedores de software están cada vez más especializados en la creación de software que está endurecido , o más difíciles de penetrar. A medida que los hackers están golpeando más endurecida y software como vectores de ataque de red y software, tales como el hacking remoto, son cada vez más difíciles, los hackers están recurriendo a técnicas de ingeniería social. A menudo usando una combinación de hardware y aptitudes personales, los hackers están utilizando en los principales ataques de ingeniería social, así como en infracciones leves en todo el mundo. Penetration testers: desde un probador de penetración del mundo real (también conocido como pentester) es muy ofensivo en la naturaleza, esta categoría debe seguir después de hackers. True penetration testers aprender y usar las habilidades que los hackers malintencionados utilizan para realmente ayudar a asegurar la seguridad del cliente. Penetration testers son personas que podrían tener las habilidades de un sombrero negro malintencionado pero que nunca utilice la información para beneficio personal o daño a la meta. Espías: espías utilizan la ingeniería social como una forma de vida. A menudo empleando cada aspecto del marco de ingeniería social (que se analizan más adelante en este capítulo), los espías son expertos en esta ciencia. Los espías de todo el mundo se enseñan diferentes métodos para "engañar" a las víctimas a creer que hay alguien o algo que no son. Además de ser enseñado el arte de la ingeniería social, muchas veces espías también construir sobre la base de la credibilidad conociendo un poco o incluso mucho acerca de la empresa o el gobierno están tratando
de ingeniero social.
Los ladrones de identidad: el robo de identidad es el uso de la información, como el nombre de una persona, los números de cuenta bancaria, dirección, fecha de nacimiento, y número de la seguridad social sin el conocimiento del propietario. Este delito puede oscilar de ponerse un uniforme para suplantar a alguien a estafas mucho más elaborada. Los ladrones de identidad emplean muchos aspectos
De la ingeniería social y a medida que pasa el tiempo parecen más envalentonados e indiferente ante el sufrimiento que causa. Empleados descontentos: Después se ha convertido en un empleado disgustado, suelen entrar en una relación de adversarios con su empleador. Esto puede ser a menudo una cara una situación, porque el empleado suele tratar de ocultar su nivel de desagrado para no poner en riesgo su empleo. Sin embargo, la más descontentos se vuelven, más fácil resulta para justificar actos de robo, vandalismo, u otros delitos. Artista: estafa estafas o contras apelar a la codicia o a otros principios que atraen a la gente las creencias y deseos de hacer un buck." Los estafadores o estafadores que domine la capacidad para leer y escoger la gente pocas pistas que hacen que una persona una buena "marca" también son diestros en la creación de situaciones que presentan inmejorables oportunidades para una marca. Reclutadores ejecutivos: reclutadores también deben dominar muchos aspectos de la ingeniería social. Tener que dominar la obtención, así como muchos de los principios psicológicos de la ingeniería social, se vuelven muy adeptos a la lectura no sólo de personas, sino también la comprensión de lo que motiva a la gente. Muchas veces un reclutador debe tomar en consideración y por favor, no sólo a los buscadores de empleo, sino también el trabajo de póster.
Vendedores: Similar a los reclutadores, los vendedores deben dominar muchas habilidades de las personas. Muchos gurús de ventas dicen que un buen vendedor no manipular personas pero utiliza sus habilidades para averiguar cuáles son las necesidades del pueblo y luego ve si pueden llenar. El arte de las ventas tiene muchas habilidades como la recopilación de información, la obtención, la influencia, los principios psicológicos, así como muchas otras habilidades de las personas. Los gobiernos: no a menudo mirado como los ingenieros sociales, los gobiernos utilizan la ingeniería social para controlar los mensajes que se
libere así como los pueblos que gobiernan. Muchos gobiernos utilizan prueba social, autoridad y escasez para asegurarse de que sus súbditos están en control. Este tipo de ingeniería social no siempre es negativo, porque algunos de los mensajes de los gobiernos relé son para el bien de las personas y el uso de ciertos elementos de la ingeniería social puede hacer que el mensaje sea más atractiva y más ampliamente aceptada.
Los médicos, psicólogos y abogados: Aunque la gente en estas carreras que pueden no parecer que encajan en la misma categoría que muchos de estos otros ingenieros sociales, este grupo emplea los mismos métodos utilizados por otros grupos en esta lista. Deben usar la evocación y buen entrevista y tácticas de interrogación así como muchos, si no todos, de los principios psicológicos de la ingeniería social para manipular a sus "objetivos" (clientes) en la dirección que quieren tomar. Independientemente del campo, parece que se puede encontrar la ingeniería social o un aspecto de ella. Esta es la razón por la que me mantenga firmemente a la creencia de que la ingeniería social es una ciencia. Establecer ecuaciones permiten que una persona "sumar" elementos de ingeniería social para llevar a la meta. En el ejemplo de un estafador, piense de la ecuación como esta: pretexto de manipulación + + adjunto a la codicia = objetivo de ingeniería social. En cada situación, sabiendo qué elementos funcionará es la parte difícil, pero después de aprender a utilizar esos elementos es donde entra en juego la habilidad. Esta fue la base para el pensamiento detrás de desarrollar el marco de ingeniería social. Este marco ha revolucionado la forma en que la ingeniería social es diseccionado, tal como se explica en la siguiente sección. El marco de ingeniería social y cómo utilizarlo
A través de la experiencia y la investigación he intentado esbozar los elementos que componen un ingeniero social. Cada uno de estos elementos define una parte de la ecuación que iguala todo un ingeniero social. Estos aspectos no están grabadas en piedra; como cuestión de hecho, desde su estado original hasta ahora el marco ha crecido. El objetivo del marco es dar información suficiente para cualquier persona para construir sobre estas habilidades. El marco no está diseñada para ser un completo recurso para toda la información de cada capítulo. Por ejemplo, la parte del capítulo 5 que cubre microexpressions está basado en la investigación de algunas de las mentes más brillantes en este
campo y mi experiencia en el uso de esa información. No está destinada a sustituir los 50 años de investigación por parte de esas grandes mentes como el Dr. Paul Ekman.
A medida que lea el marco verá que utilizando las muchas habilidades dentro de ella, no sólo puede mejorar su práctica de la seguridad, sino también su modo de pensar acerca de cómo permanecer seguro, cómo comunicar más plenamente, y cómo entender cómo la gente piensa. Consulte la tabla de contenido para obtener una imagen clara del marco o verlo online en Www.social-engineer.org/framework . A primera vista el marco puede parecer desalentador, pero dentro de este libro encontrarás un análisis de cada tema que le permitirán aplicar, mejorar y construir estas habilidades.
El conocimiento es poder, es cierto. En este sentido, la educación es la mejor defensa contra la mayoría de ataques de ingeniería social. Incluso aquellos que el conocimiento no puede proteger contra un 100 por ciento, habiendo detalles de estos ataques le mantiene alerta. La educación puede ayudar a usted a mejorar sus propias habilidades, así como estar alerta. Junto con la educación, sin embargo, necesita práctica. Este libro no fue diseñado para ser una lectura manual; en lugar de ello, fue diseñado para ser una guía de estudio. Usted puede practicar y personalizar cada sección para sus necesidades. El marco es progresiva en el sentido de que es la manera en que un ataque de ingeniería social es establecido. Cada sección del marco aborda el tema siguiente en el orden en que un ingeniero social podría utilizar esa habilidad en su acoplamiento o etapas de planificación.
El marco muestra cómo un ataque podría ser descrito. Después del ataque está planificado, los conocimientos que se necesitan puede ser estudiado, mejorado, y practicado antes de la entrega. Supongamos, por ejemplo, que usted está planeando una auditoría ingeniería social contra una empresa que quería ver si podría acceder a su sala de servidores y robar datos. Tal vez su plan de ataque sería pretender ser una persona de soporte técnico que necesita acceso a la sala del servidor. Desea recopilar información, incluso realizar un basurero de buceo. A continuación, bajo el pretexto de ser el técnico guy, puede utilizar
alguna de las herramientas de cámara encubierta así como para practicar el idioma adecuado y facial/señales vocales para saber cómo actuar, sonido y mirar como un tech guy. Si localizar qué empresa que utiliza su cliente para soporte técnico puede necesitar
Hacer info que se ciernen sobre ella. Quién hace el cliente suele llegar al servicio de ellos? ¿Cuáles son los nombres de los empleados con quienes interactúan? El ataque debe planificarse adecuadamente. Este libro no es sólo para aquellos que realizan auditorías, aunque. Muchos lectores tienen curiosidad sobre lo que los ataques son, porque ellos no están protegiendo a una empresa, sino porque necesitan para protegerse. No ser consciente de la manera en que un ingeniero social malicioso piensa que puede conducir a alguien por el camino a ser hackeado. Los estudiantes universitarios en el campo de la seguridad también han utilizado el marco. La información en el marco esboza un camino realista para estos vectores, o los métodos de ataque, y permite al lector a estudiarlas en profundidad.
Generalmente, esta información también puede ayudarle a mejorar su capacidad para comunicarse en la vida cotidiana. Saber leer las expresiones faciales o cómo usar preguntas para poner a la gente en la facilidad y provocar respuestas positivas pueden mejorar su capacidad para comunicarse con sus familiares y amigos. Puede ayudarle a convertirse en un buen oyente y estar más consciente de los sentimientos del pueblo. Ser capaz de leer el lenguaje corporal de las personas, las expresiones faciales y tonos de voz también puede mejorar su habilidad para ser un comunicador eficaz. La comprensión de cómo protegerse y proteger a sus seres queridos, sólo hará más valioso y más conscientes del mundo que le rodea.
Resumen Como cualquier libro, los conocimientos contenidos en el presente documento sólo es útil si se pone en práctica. Cuanto más usted practica la más triunfará en dominar estas habilidades.
Anteriormente, he descrito cómo la ingeniería social es como dominar el arte de la cocina. Mezclando los ingredientes correctos en la cantidad adecuada puede hacer que una comida que está lleno de sabor y emoción. La primera vez que intente cocinar una comida que podría tener demasiada sal o quizás falta sabor totalmente, pero no inmediatamente tirar la toalla, siga intentándolo hasta que consiga lo que quiere. Lo mismo vale para la ingeniería social. Algunas de las habilidades necesarias puede venir
Más naturalmente a usted y otros pueden ser más difíciles. Si un tema en particular es difícil de entender o difícil de entender, no se dé por vencido, y no asumir que no se puede aprender. Cualquiera puede aprender y usar estas habilidades con la cantidad adecuada de esfuerzo y trabajo. También hay que tener en cuenta que, al igual que una verdadera receta, muchos "ingredientes" ir a un buen concierto de ingeniería social. El primer ingrediente podría tener más sentido después de bajar de la línea un poco más. Ciertas habilidades tales como "desbordamiento de buffer" de los derechos comprendidos en el Capítulo 5 sólo tendrán sentido después de usted maestro de algunas de las otras habilidades que se analizan en este libro. Independientemente, sigue practicando y asegúrese de hacer más investigaciones sobre temas para los cuales usted necesita claridad. Ahora vamos a comenzar la cocción. Su "receta" comienza en el capítulo siguiente con el primer ingrediente, el acopio de información.
Capítulo 2
Recopilación de información
La guerra es el 90 por ciento de información. -Napoleón Bonaparte
Se ha dicho que la información no es irrelevante. Esas palabras suenan cierto cuando se trata de este capítulo en el acopio de información. Incluso el más mínimo detalle puede conducir a una violación de ingeniería social exitoso. Mi buen amigo y mentor, Mati Aharoni, quien ha sido un profesional pentester durante más de una década, narra una historia que realmente impulsa a este punto de inicio. Él era el encargado de acceder a una empresa que tenía una huella casi inexistente en la Web. Porque la compañía ofrecía muy pocas vías para piratear, ganando este acceso sería muy difícil. Mati empezó a fregar el Internet Para cualquier información que pudiera conducir a una ruta. En una de sus búsquedas encontró un alto funcionario de la empresa quien utilizó su correo electrónico corporativo en un foro acerca de filatelia y que mostraron interés por los sellos de la década de 1950. Mati registró rápidamente una URL, algo así como www.stampcollection.com , y luego encontrar un montón de de aspecto antiguo sello 1950 imágenes en Google. Crear un sitio web rápido para mostrar su "colección de sellos", entonces un mensaje de correo electrónico especialmente diseñado para la compañía oficial:
Estimado Señor, He visto www.forum.com estás interesado en sellos de la década de 1950. Recientemente mi abuelo falleció y me dejó con una colección de sellos que me gustaría vender. Tengo un sitio web creado; si le gustaría verla por favor visite
www.stampcollection.com .
Gracias, Mati
Antes de que él le envió el correo al destino, quería asegurar que no sería el máximo impacto. Él tomó el número de la oficina desde el post en el foro y se coloca una llamada telefónica al hombre. "Buenos días, señor, esto es Bob. He visto su anuncio en www.forum.com . Mi abuelo recientemente aprobada y me dejó un montón de sellos desde los años 50s y 60s. Me tomó imágenes y realizó un sitio web. Si usted está interesado puedo enviarle el link y usted puede tomar un vistazo".
La meta estaba muy ansioso de ver esta colección y acepta fácilmente el correo electrónico. Mati envió al hombre el correo y esperaron para que él haga clic en el enlace. Lo que Mati hizo fue incorporar un bastidor maliciosos en el sitio web. Esta trama tiene código que podría explotar una vulnerabilidad conocida entonces en el popular navegador Internet Explorer y da el control sobre el equipo del destino a Mati.
La espera no fue larga: tan pronto como el hombre ha recibido el mensaje de correo electrónico que hace clic en el enlace y el perímetro de la empresa estaba en peligro.
Un pequeño trozo de información el correo electrónico corporativo este hombre utiliza para buscar sellos-es lo que ha conducido a este compromiso. Ningún pedazo de información es irrelevante. Con este conocimiento en mente, aquí están las preguntas que surgen con respecto a la recopilación de información:
¿Cómo se puede reunir información? Qué fuentes existen para los ingenieros sociales para recopilar la información? ¿Qué se puede deducir a partir de esta información al perfil de sus objetivos?
¿Cómo se puede localizar, almacenar y catalogar toda esta información para el nivel más fácil de usar? Estas son sólo algunas de las preguntas que usted necesita encontrar respuestas para para llevar a cabo la recopilación de información adecuada y efectiva. Con la plétora de sitios de redes sociales, la gente puede compartir fácilmente todos los aspectos de sus vidas con cualquiera que elija, haciendo potencialmente dañina información más accesible que
nunca antes. Este capítulo se centra en los principios de la recolección de información mediante la presentación de ejemplos de cómo pueden ser utilizados en la ingeniería social y los devastadores efectos de algunas personas de la información puesta en el Web, puede tener sobre su seguridad personal y empresarial. Muchas de las técnicas o métodos que un ingeniero social puede utilizar provienen de otros campos. Un campo que es magnífica en la recopilación de información es ventas.
Los vendedores tienden a ser muy hablador, campechano, y muy buena en la recopilación de datos acerca de aquellos con quienes interactúan. Una vez leí un libro sobre las ventas, en el cual el autor se alentó a los vendedores para recopilar las referencias del comprador-algo a lo largo de estas líneas: "me puedes decir a una persona que usted piensa que podría beneficiarse de este producto tanto como usted?". Usando una simple redacción puede tener una persona para abrir y ver la familia, los amigos, y quizás incluso los compañeros de trabajo. Recolección , o la recopilación de esta información y, a continuación, guardarla, permite al personal de ventas a tener lo que ellos llaman "cálido" lleva a la palabra. El plomo es un cálido donde tienen una persona con una "a", una forma de llegar a la puerta sin tener que llamar en frío. El vendedor puede recurrir ahora a esas referencias y decir algo como, "Yo estaba justo en el Jane's house dos puertas abajo, y ella compró nuestra política de primas. Después de revisar los beneficios y pagar por adelantado el año dijo usted podría beneficiarse de la misma cobertura. ¿Tiene usted un minuto para mí para mostrarle lo que Jane comprado?". Estas habilidades usadas por los vendedores suelen ser reflejada por los ingenieros sociales. Por supuesto un ingeniero social no está pidiendo remisiones, pero pensar en el flujo de información dentro y fuera de esta conversación. El vendedor recopila información de su cliente y, a continuación, el orador transmite esa información en una forma que hará el nuevo "target" más susceptibles a escuchar y permitirle a él. Además, por la caída de los consejos sobre lo que el primer cliente comprar y usar palabras como "premium" y "por adelantado" el vendedor es el nuevo destino de precarga con las palabras clave que desea utilizar con él en poco tiempo. Esta técnica es eficaz en la medida en que crea confianza, utiliza la familiaridad, y permite que el destino se sienta cómodo con el vendedor o el ingeniero social, dándole a su mente un puente sobre la brecha que normalmente existen. En este capítulo, así como el capítulo siguiente, se sumergen en estos temas.
Como un ingeniero social, ambos ángulos son de vital importancia para comprender y utilizar eficazmente. Para volver a la ilustración utilizada en el capítulo 1 de ser un chef, un buen cocinero sabe todo acerca de cómo identificar productos de buena calidad, verduras frescas y la carne de calidad. Que estén bien informados acerca de lo que pasa en la receta, pero si se utilizan las cantidades adecuadas de los alimentos puede ser demasiado suave o demasiado fuerte o no lo suficientemente bueno para comer en todo el día. Simplemente sabiendo que
Una receta requiere de sal no te hace un chef, pero saber cómo mezclar la cantidad correcta y el tipo de ingredientes pueden ayudarle a dominar el arte de la cocina. Un ingeniero social necesita para dominar el tipo y la cantidad de habilidades para ser utilizado (la "receta"). Cuando se hace eso, pueden convertirse en un maestro ingeniero social.
Este capítulo ayuda a identificar este equilibrio. El primer ingrediente en cualquier receta para un ingeniero social es información (detallada en la siguiente sección). Cuanto mayor sea la calidad de la información es más probable que para lograr el éxito. Este capítulo comienza con una discusión sobre cómo recopilar información. A continuación, pasa a discutir qué fuentes pueden ser utilizadas para recolectar información. Este capítulo no sería completa sin discutir cómo atar todo junto y utilizar estos recursos como un ingeniero social.
Recopilación de información La recopilación de información es como construir una casa. Si intenta iniciar con el techo de su casa seguramente será un fracaso. Una buena casa se construirá utilizando una base sólida y a partir de ahí será construido literalmente desde el suelo hacia arriba. A medida que recopile la información usted puede ser abrumado con cómo organizar y utilizar estos datos, así que a partir de un archivo o un servicio de recopilación de información para recopilar estos datos es una buena idea.
Existen muchas herramientas para ayudar en la recopilación y el uso de estos datos. Para las pruebas de penetración y auditorías de ingeniería social yo uso una distribución de Linux llamada BackTrack que está diseñado específicamente para este propósito. BackTrack es como la mayoría de las distribuciones de Linux en que es gratuito y de código abierto. Quizás su mayor activo es el que contiene más de 300 herramientas diseñadas para ayudar en la auditoría de seguridad. Todas las herramientas de BackTrack también son de código abierto y libre. Especialmente atractivo es la alta calidad de las herramientas de BackTrack,
muchas de las cuales rivalizar e incluso superar a herramientas que pagaría un brazo y una pierna. Dos herramientas de BackTrack que son especialmente útiles para recopilar y almacenar información son llamados Dradis y cesta. En las siguientes secciones se eche un vistazo rápido a cada uno. Usar la cesta
El canasto es similar en funcionalidad a Bloc de notas, pero más como el Bloc de notas sobre esteroides. Actualmente está mantenido por Kelvie Wong y se puede encontrar de forma gratuita en BackTrack o en Http://basket.kde.org/ . El sitio web tiene instrucciones completas de cómo instalar el canasto. Una vez instalado el canasto es fácil de usar y la interfaz no es difícil de entender.
Como se ve en la Figura 2-1 , la interfaz es fácil de averiguar. Adición de una nueva "cesta" para retener datos es tan simple como hacer clic con el botón derecho sobre el lado izquierdo de la pantalla y seleccionando Nueva canasta. Una vez que se agregan nuevos canastos, el cielo es el límite. Puede copiar y pegar datos, lugar capturas de pantalla en la canasta, o incluso empate en OpenOffice u otros tipos de diagramas, gráficos y otras utilidades.
Figura 2-1: Cesta permite una fácil organización de los datos encontrados durante la recogida de la información.
Adición de una captura de pantalla se puede hacer de varias formas. La forma más fácil es copiar la imagen y luego clic con el botón derecho del ratón en la nueva canasta y haga clic en Pegar. Como se muestra en la Figura 2-1 , la adición de imágenes es sencilla, pero también muestra la imagen de inmediato. Las notas pueden ser escrito o pegado alrededor de las imágenes simplemente haciendo clic en la cesta y empezar a escribir. En una auditoría de seguridad normal, lo que hace atractiva la cesta es la forma en la que los catálogos de datos y lo muestra en la pantalla. Yo suelo añadir una cesta diferente para cada tipo de datos, como Whois, los medios de comunicación social, y así sucesivamente. Después de eso, voy a hacer algunos recon usando Google Maps o Google Earth para capturar algunas imágenes del edificio o instalación del cliente, que se puede almacenar en el canasto. Cuando la auditoría es completo, pudiendo tirar hacia arriba y utilizar esta información rápidamente es muy fácil. La figura 2-2 ilustra una casi completa canasta que contiene mucha información útil y fichas.
Como se muestra en la Figura 2-2 , Cesta es fácil de almacenar la información en un formato fácil de leer. Yo intente incluir tanta información como sea posible porque la información no es demasiado pequeño para almacenar. La información que se incluyen elementos de la página web del cliente, información de WhoIs, los sitios de medios sociales, imágenes, información de contacto empleado, reanuda la encuentra, foros, pasatiempos, y cualquier otra cosa me parece vinculado a la empresa. Figura 2-2: Una canasta casi terminada con mucha información útil.
Cuando he terminado, simplemente haga clic en el menú llamado canasta, a continuación, exportar y exportar toda la cesta como una página HTML. Esto es de gran utilidad para informar o compartir esta información. Para un ingeniero social, recopilación de datos, como se analizará en detalle más adelante, es el quid de cada concierto, pero si no puede recuperar y utilizar los datos rápidamente, se vuelve inútil. Una herramienta como el canasto hace la retención y utilización de datos fácil. Si te dan una cesta pruebe y use una vez, te enganchará.
Utilizando Dradis Aunque la cesta es una gran herramienta, si no un montón de acopio de información, o si trabaja en equipo que necesita recopilar, almacenar y utilizar los datos y, a continuación, una herramienta que permite a múltiples usuarios compartir estos datos es importante. Introduzca Dradis. De
acuerdo con los creadores de la fuente abierta Dradis, el programa es una "aplicación web autónomo que proporciona un repositorio centralizado de
Información" se han reunido, y un medio por el cual para planificar lo que está por venir. Como la canasta, Dradis es una herramienta gratuita de código abierto que se puede encontrar en Http://dradisframework.org/ . Si está utilizando Linux, Windows o Mac, Dradis tiene fácil de usar y configurar instrucciones de instalación que se encuentran en Http://dradisframework.org/install.html . Una vez Dradis está instalado y configurado, simplemente busque el localhost y el puerto asignado, o utilizar el estándar 3004. Usted puede hacer esto abriendo un navegador y escribiendo Https://localhost:3004/ .
Una vez iniciada la sesión, se te dará la bienvenida con la pantalla mostrada en la Figura 2-3 . Observe que el botón Añadir ramas en la parte superior izquierda. Agregar una rama permite agregar detalles similares como usted puede en el canasto: notas, imágenes y mucho más, y puede incluso importar notas.
Figura 2-3: Dradis tiene una bonita interfaz fácil de usar.
Dradis y la cesta son sólo dos de las herramientas que he
utilizado para recoger y almacenar datos. Los sitios web de ambas Dradis y canasta tienen muy agradable tutoriales sobre la configuración y uso de estas potentes herramientas.
Cualquier sistema operativo que use-Mac, Windows o Linux-hay opciones hacia fuera allí para usted. Lo importante es utilizar una herramienta que usted se sienta cómodo con él, y que puede manejar grandes cantidades de datos. Por eso sugiero mantenerse alejado de cosas como el Bloc de notas de Windows o Smultron o TextEdit en Mac. Desea poder para dar formato y resaltar algunas áreas para resaltarlas. En mi servidor Dradis, ilustrado en la Figura 2-3 , tengo una sección para guiones telefónicos. Esta funcionalidad es útil para transcribir ideas que podrían trabajar sobre la base de la información recopilada.
Estas herramientas sugieren cómo un ingeniero social comienza a utilizar la información que recopila. La primera etapa en la utilización de la información que recopile es pensar como un ingeniero social. Pensar como un Ingeniero social Tras unos pocos cientos de megabytes de datos e imágenes es genial, pero cuando empiezas a revisarlo, ¿cómo entrenarse para revisar y luego pensar de los datos en una forma que tenga el máximo impacto? Por supuesto podías abrir un navegador y escribir largas búsquedas aleatorias que pueden conducir a alguna forma de información, algunas de las cuales pueden ser incluso útiles. Si tienes hambre probablemente no acaba de funcionar a la cocina y empezar a tirar independientemente de los ingredientes que ves en un tazón y comenzar a excavar en. Planificación, preparación, y pensamos que causa la comida sea buena. Similar a una verdadera comida, un ingeniero social necesita para planificar, preparar y pensar en qué información va a intentar obtener y cómo se va a obtener. Cuando llegue a este paso fundamental de recopilación de información que muchas personas tendrán que cambiar su forma de pensar. Usted tiene que acercarse al mundo de la información en frente de usted con una opinión diferente y la mentalidad de lo que normalmente puede tener. Tienes que aprender a cuestionar todo y, cuando ve un pedazo de información, aprender a pensar como un ingeniero social. La manera en que formules tus preguntas de
la web o de otras fuentes, debe cambiar. La forma de ver las respuestas que vienen atrás también deben cambiar. Escuchando una conversación, lectura lo que parece un post en el foro sin sentido, viendo una bolsa de basura debe asimilar esta información en una manera diferente de lo que hacía antes. Mi mentor Mati se excita cuando ve un programa crash.
¿Por qué? Porque él es un probador de penetración y explotar escritor. Un accidente es el primer paso para encontrar una vulnerabilidad en el software, por lo que en lugar de estar irritado por la pérdida de datos que se excita en el accidente. Un ingeniero social debe enfocar la información de la misma manera. Al encontrar un destino que utiliza muchos sitios de medios sociales diferentes, busque los vínculos entre ellos y la información que se puede crear un perfil entero. Como ejemplo, una vez alquilé un coche para conducir unos pocos estados de distancia para los negocios. Mi compañero y yo, cargamos todo nuestro equipaje en el baúl, ya que estábamos entrando en el coche nos dimos cuenta de una pequeña bolsa de basura en el asiento de atrás. La otra persona dice algo como, "Servicio hoy en día simplemente apesta. Usted figura para pagar lo que les permitiría, al menos, limpiar el coche".
Cierto, usted esperaría que, pero dejé que la bolsa solo chucked en el más próximo posible, y me dijo, "permítanme mira que realmente rápido." Como me abrió la bolsa y ha dejado de lado el Taco Bell envolturas, lo que estaba mintiendo a simple vista fue un shock para mí la mitad de una casilla de RIP. Yo rápidamente saliendo de la bolsa y encontró un recibo bancario y la otra mitad de la comprobación. La casilla fue escrito por un par de miles de dólares, entonces sólo destrozó, no en pequeños trozos, pero sólo en cuatro trozos grandes, luego arrojados a una pequeña bolsa con una envoltura de Taco Bell. Entablillado de nuevo juntos reveló el nombre de esa persona, empresa, nombre, dirección, número de teléfono, número de cuenta bancaria y número de ruta del banco. Junto con el recibo bancario ahora tenía el saldo de su cuenta. Afortunadamente para él, no soy una persona malintencionada porque sólo un par de pasos más son necesarios para cometer robos de identidad. Esta historia personifica el modo en que la gente ve su valiosa información. Este chico alquiló el coche delante de mí, y entonces porque tiró la casilla lejos sintió que se había ido, eliminan de manera segura. O al menos eso pensó; pero esto no es un caso aislado. En esta dirección puede encontrar una historia reciente muy valioso acerca de cosas que la gente simplemente tiraron o vendidos por casi nada en una venta de
garage: engineer.org/wiki/archives/BlogPosts/LookWhatIFound.html .
www.social-
Cosas como: Una pintura que un museo compró por 1,2 millones de dólares 1937 Bugatti Type 57S Atalante con apenas 24.000 millas vendido por 3 millones de dólares
Una copia de la Declaración de la Independencia Si la gente deseche una pintura con una copia oculta de la Declaración de la independencia en ella y, a continuación, tirar de facturas, registros médicos, viejas facturas o extractos de la tarjeta de crédito no es probablemente un gran acuerdo.
Cómo interactúa con la gente en público puede tener efectos devastadores. En el siguiente escenario se me pidió a una empresa de auditoría y antes de que yo pudiera continuar necesitaba para recopilar algunos datos. Eche un vistazo a cómo es simple, aparentemente sin sentido la información puede conducir a una violación. Simplemente siguiendo una de las mayores empresas de la empresa objetivo durante un día o dos me mostraron que la dejó para el café cada mañana a la misma hora. Desde que yo era consciente de su 7:30 a.m. parada para tomar café en la cafetería local podría planear una "reunión". Él se sentaba durante 30-35 minutos, leer el periódico, y una bebida mediana café latte. Puedo entrar en la tienda de unos 3 a 5 minutos después de que él se sienta. He pedido la misma bebida como él y sentarse junto a él en la tienda. Me veo más como él coloca una sección del papel hacia abajo y preguntar si puedo leer el periódico está hecho con él. Habiendo ya recogido un documento sobre la manera en que yo sabía que la página tres contenía un artículo sobre el reciente asesinato en la zona. Después de actuar como si Acabo de leerlo, puedo decir en voz alta, "Aun en estas ciudades pequeñas cosas hoy en día son terroríficos. Usted vive aquí?".
Ahora, en este punto la meta puede soplar fuera de mí, o si he jugado mis cartas a la derecha, mi lenguaje corporal, el tono de voz y la apariencia lo pondrá en la facilidad. Él dice, "Sí, me mudé en pocos años atrás para un trabajo. Me gustan las ciudades pequeñas, pero se oye más y más". Sigo, "estoy viajando por la zona. Vendo high-end de negocio servicios de consultoría a grandes empresas y siempre disfrute del viaje a través de la ciudades más pequeñas pero me parece escuchar más y más de estas historias incluso en las zonas rurales". Luego en un tono muy bromeando le digo, "Usted no pasará de ser un bigwig en una gran empresa que
necesita algunas consultorías ¿verdad?"
Él se ríe y entonces como si yo solo lo retó a demostrar su valía dice, "Bueno, yo soy un VP de finanzas de XYZ Corp. aquí localmente, pero no puedo manejar ese departamento". "Hey, mira, no estoy tratando de venderle algo, simplemente disfrutar de un café, pero si crees que me puede pasar por aquí y dejar alguna información mañana o el miércoles?".
Aquí es donde la historia es interesante, como él dice, "Así me gustaría pero estoy saliendo para una vacaciones muy necesario el miércoles. Pero ¿por qué no enviarlo por correo a mí y le llamaré." Entonces me entregue una tarjeta.
"Ir a un lugar cálido y soleado, espero?" Pido esto a sabiendas de que probablemente soy acercándose al punto donde tengo que cortar.
"Teniendo a la esposa en un crucero sur." Puedo decir que él no quiere decirme dónde, lo cual está bien, lo estrechamos la mano y parte maneras.
Ahora podría haber sido soplado fuera de Probablemente, pero tengo alguna información valiosa: Su número directo Cuando él sale de vacaciones ¿Qué tipo de vacaciones Que él es local El nombre de su empresa Su título en su empresa Que recientemente se trasladó
mí?
Por supuesto, algunas de estas informaciones ya tenia desde la anterior reunión de información, pero yo era capaz de añadir una cantidad sustancial de que después de esta reunión. Ahora para el lanzamiento de la siguiente parte del ataque, yo llame a su línea directa el día después de que se supone que se ha ido y preguntar por él, sólo para ser contada por su recepcionista, "Lo siento, el Sr. Smith está de vacaciones-puedo tomar un mensaje?".
Excelente. La información es verificada y ahora todo lo que necesita hacer es iniciar la fase final, lo que significa vestirse de traje y teniendo mi $9 tarjetas de visita a su oficina. Puedo entrar, registrarse y dígale a la recepcionista que tengo una cita con el Sr. Smith a las 10:00 a.m., a lo que ella responde: "Él está de vacaciones, ¿seguro que es hoy?".
Usando mis sesiones de práctica en microexpressions, un tema abordado en el Capítulo 5, yo mostrar verdadera
sorpresa: "Espere, su crucero fue esta semana? Pensé que él dejó la semana próxima". Esta declaración es vital: ¿por qué? Quiero el nombramiento para ser creíble y quiero que la recepcionista a confiar en mí por proxy. Declarando que sé acerca de su crucero este debe significar
el
Sr.
Smith
Y he tenido conversación íntima-suficiente para que yo sepa su itinerario. Pero mi impotencia suscita piedad y enseguida el secretario viene en mi ayuda. "Oh, miel, lo siento, no me quieren llamar a su ayudante?".
"Ah, no." Yo respondo. "Yo realmente quería dejar algo de información con él. Cómo sobre esto voy a dejarlo con usted y usted puede darle a él cuando llegue? Estoy terriblemente avergonzados; quizá puede evitar incluso diciéndole que hice esto?".
"Mis labios están sellados". "Gracias. Mira, voy a arrastrarse fuera de aquí, pero antes de que yo no puedo utilizar tu cuarto de baño?" Sé que normalmente no podría estar en el meollo, pero espero que la combinación de mi simpatía, mi impotencia, y su piedad conducirá hacia el éxito y lo hace. Mientras está en el baño, pongo un sobre en un establo. En la cubierta de la envoltura puse una pegatina que dice en privado. En el interior de la envoltura "privado" es una llave USB con una carga maliciosa. Hago esto en un establo y también en el pasillo por una sala de descanso para aumentar mis posibilidades y espero que la persona que encuentra uno de ellos es lo suficientemente curioso para insertarlo en su ordenador.
Seguramente, este método parece funcionar siempre. Lo que asusta es que este ataque probablemente no funcionaría si no fuera por un poco de conversación inútil en una cafetería. El punto no es sólo acerca de cómo los pequeños datos pueden conducir a la violación, sino también la manera de recopilar estos datos. Las fuentes que se pueden utilizar para recoger datos son importantes para entender y probar hasta que dominen con cada método y cada fuente de colección. Hay muchos tipos diferentes de las fuentes para la recolección de datos. Un buen ingeniero social deben estar dispuestos a dedicar algún tiempo a aprender las fortalezas y debilidades de cada uno, así como la mejor manera de utilizar cada fuente. Por consiguiente, el tema de la próxima sección.
Fuentes para la recopilación de información Existen muchas fuentes diferentes para el acopio de información. La siguiente lista es imposible cubrir cada fuente fuera allí, pero no se describen las principales opciones de las que dispone.
Recopilación de información de sitios Web Corporativo y/o sitios web personales pueden proporcionar una gran cantidad de información. La primera cosa que un buen ingeniero social se suele hacer es reunir tanta información como pueda de la compañía o persona en la web. Pasar algún tiempo de calidad con el sitio pueden conducir a comprender claramente:
Lo que hacen Los productos y servicios que ofrecen Ubicaciones físicas Ofertas de trabajo Los números de contacto Biografías de los ejecutivos o del consejo de administración Foro de soporte Convenciones de nombres de correo electrónico Las palabras o frases especiales que pueden ayudar en la contraseña Ver perfiles de los sitios personales de la gente es increíble porque Enlace a casi todos los detalles íntimos de los niños acerca de sus vidas, viviendas, empleos y mucho más. Esta información debe ser catalogados en secciones porque suelen ser algo de esta lista que se utilizó en el ataque. Muchas veces los empleados de la empresa serán parte del mismo hobby foros, listas, o los sitios de medios sociales. Si usted encuentra un empleado en LinkedIn o Facebook, es probable que muchos más están allí también. Tratando de reunir todos los datos que pueden realmente ayudar a un ingeniero social el perfil de la compañía, así como de los empleados. Muchos empleados hablará acerca de su puesto de trabajo en sus empresas de medios de comunicación social. Esto puede ayudar a un ingeniero social al perfil cuántas personas podrían estar en un departamento y cómo los departamentos están estructurados.
Los motores de búsqueda Johnny Long escribió un famoso libro llamado Google Hacking para penetration testers y realmente abrió los ojos a muchas personas a la increíble cantidad de información que Google posee. Google Perdona pero nunca olvida, y ha sido comparado con el
Oracle. Tan largo como usted sabe cómo preguntar, se puede decir que la mayoría de todo lo que desee saber. Johnny elaboró una lista de lo que él llama "Google Dorks", o una cadena que puede ser usada para buscar en Google para encontrar información sobre una empresa. Por ejemplo, si tuviera que escribir en: site:microsoft.com filetype:pdf le dará una lista de todos los archivos con la extensión de archivo PDF que se encuentra en el dominio microsoft.com. Estar familiarizado con términos de búsqueda que pueden ayudarle a localizar los archivos en tu objetivo es una parte muy importante de recopilación de información. Hago un hábito de buscar filetype:pdf , filetype:doc , filetype:xls , y filetype:txt . También es una buena idea para ver si los empleados realmente dejar archivos como DAT, CFG, u otras bases de datos o archivos de configuración abierta en sus servidores para ser cosechadas.
Todo libros están dedicados al tema de usar Google para buscar datos, pero la cosa principal a recordar es aprender sobre operandos de Google te ayudará a elaborar tu propio. Un sitio como Www.googleguide.com/advanced_operators.html tiene una muy buena lista de los operandos y cómo utilizarlos.
Google no es el único motor de búsqueda que revela información asombrosa. Un investigador llamado John Matherly creado un motor de búsqueda llamó www.shodanhq.com Shodan ( ). Shodan es única en la que se busca en la red para los servidores, routers, software específico, y mucho más. Por ejemplo, una búsqueda de Microsoft-IIS os:"Windows 2003" revela el siguiente número de servidores que ejecutan Windows 2003 con Microsoft IIS:
Estados Unidos 59,140 China 5,361 Canadá 4.424 Reino Unido 3,406 Taiwán 3,027
Esta búsqueda no es específico del destino, pero no demuestran una lección vital: la web contiene una sorprendente riqueza de información que necesita ser tocado por un ingeniero social tratando de dominar en el acopio de información.
Reconocimiento Whois Whois es un nombre para un servicio y una base de datos. Las bases de datos Whois contienen una gran riqueza de información que, en algunos casos incluso puede contener información de contacto completa de los administradores de sitios web. Mediante una línea de comandos de Linux o utilizar un sitio web como www.whois.net sorprendentemente puede conducir a resultados específicos, como una dirección de correo electrónico, número de teléfono, o incluso la dirección IP del servidor DNS. Información de Whois puede ser muy útil en la creación de perfiles de una empresa y conocer detalles sobre sus servidores. Toda esta información puede ser utilizada para recopilar más información o lanzar ataques de ingeniería social.
Los servidores públicos Una compañía accesible públicamente los servidores son también grandes fuentes para sus sitios web no dicen. Las huellas digitales de un servidor para su sistema operativo, las aplicaciones instaladas y la información de IP puede decir mucho acerca de la infraestructura de una empresa. Después de determinar la plataforma y aplicaciones en uso, puede combinar estos datos con una búsqueda por el nombre de dominio corporativo para buscar entradas en foros de apoyo público.
Las direcciones IP pueden indicar si los servidores están alojados localmente o con un proveedor; con registros DNS puede determinar los nombres de servidor y funciones, así como IPs. En una auditoría después de buscar en la web usando la herramienta denominada Matelgo (discutidos en el capítulo 7), pude descubrir un servidor orientado públicamente que albergaba cientos de documentos con piezas clave de información sobre proyectos, clientes y los creadores de esos documentos. Esta información fue devastador para la empresa.
Una nota importante a tener en cuenta es que para realizar
un escaneo de puertos -usando una herramienta como nmap u otro escáner para localizar puertos abiertos, software y sistemas operativos utilizados en un servidor público, puede conducir a problemas con la ley en algunas áreas. Por ejemplo, en junio de 2003, un Israelí, Avi Mizrahi, fue acusado por la policía israelí del delito de intento de acceso no autorizado de
Material informático. Había capturado el puerto Web del Mossad. Unos ocho meses más tarde, fue absuelto de todos los cargos. Incluso el juez dictaminó que estos tipos de acciones no deben desalentarse cuando se realizan de una manera positiva ( www.La ley.co.il/media/equipo/derecho mizrachi_en.pdf ).
En diciembre de 1999, Scott Moulton fue arrestado por el FBI y acusado de intento de invadir Georgia del equipo bajo la Ley de Protección de los sistemas informáticos y la Ley de Abuso y Fraude Informático de América. En ese momento, su compañía de servicio estaba realizando un contrato con el condado de Cherokee de Georgia para mantener y mejorar la seguridad del centro 911 ( Www.securityfocus.com/news/126 ). Como parte de su trabajo, Moulton se realizan varios escaneos de puertos en el condado de Cherokee servidores para verificar su seguridad y eventualmente el puerto escaneado un servidor Web supervisado por otra compañía. Esto provocó un pleito, aunque fue absuelto en 2000. El juez dictaminó que no se produjeron daños que puedan menoscabar la integridad y disponibilidad de la red.
En 2007 y 2008, Inglaterra, Francia y Alemania aprobó leyes que hacen ilegal la creación, distribución y posesión de material que permita a alguien romper cualquier equipo derecho. Los analizadores de puertos caen bajo esta descripción. Por supuesto, si usted está involucrado en una auditoría de una empresa pagó más de esto será en el contrato, pero es importante señalar que el ingeniero social auditor a ser conscientes de las leyes locales y asegúrese de que no están en contra de ellos. Los medios de comunicación social Muchas empresas han adoptado recientemente los medios de comunicación social. Es barato de comercialización que afecta a un gran número de clientes potenciales. También es otro flujo de información de una compañía que puede proporcionar breadcrumbs de información viable. Las empresas deben publicar
noticias sobre eventos, nuevos productos, comunicados de prensa, y las historias que puedan relacionarlos con los acontecimientos actuales.
Últimamente, las redes sociales han tenido en mente propia. Cuando uno se convierte en éxito parece que unos pocos más pop up que utilizan una tecnología similar. Con sitios como Twitter, Blippy, PleaseRobMe, ICanStalkU,
Facebook, LinkedIn, MySpace y otros, usted puede encontrar información acerca de la vida de las personas y el paradero de las abiertas. Más tarde, este libro va a discutir este tema con mayor profundidad y verá que las redes sociales son increíbles, las fuentes de información.
Sitios de usuarios, blogs, etc. Sitios de usuario tales como blogs, wikis y vídeos online puede proporcionar no sólo la información acerca de la empresa objetivo, pero también ofrecen una conexión más personal a través de la(s) usuario(s) publicar el contenido. Un empleado descontento who's blogging sobre los problemas de su empresa pueden ser susceptibles a una simpática oído de alguien con opiniones similares o problemas. De cualquier manera, los usuarios siempre están publicando increíbles cantidades de datos en la web para que todos lo puedan ver y leer.
Caso en punto: Eche un vistazo a un sitio nuevo que ha aparecido - www.icanstalku.com (véase Figura 2-4 ). Contrariamente a su nombre, no animar a la gente a realmente otros tallos. Este sitio apunta a la completa inconsciencia de muchos usuarios de Twitter. Se raspa el sitio Twitter y busca los usuarios que son lo suficientemente insensato como para publicar fotos con sus teléfonos inteligentes. Muchas personas no se dan cuenta de que la mayoría de teléfonos inteligentes incrustar datos de ubicación GPS en sus fotos. Cuando un usuario envía una foto en la web con estos datos incrustados que puede llevar a una persona derecho a su ubicación. Visualización de información basada en la ubicación es un terrorífico aspecto de sitios web de medios sociales. No sólo le permiten publicar fotos de ti mismo, también implícitamente revelan su ubicación, posiblemente sin su conocimiento.
Sitios como ICanStalkU subrayan el peligro de esta información. Echa un vistazo a una historia (uno de muchos) que muestra cómo estos datos se utilizan para el hogar asaltos, robos, y a veces más en
www.socialengineer.org/wiki/archives/BlogPosts/TwitterHomeRobbery.html . Este tipo de información puede darle un perfil muy detallado de su destino. A la gente le gusta Tweet acerca de dónde están, qué están haciendo y con quién están. Blippy permite a una persona para conectar sus cuentas bancarias y, en esencia, "tweet" con cada compra, donde estaba, y cuánto cuesta. Con imágenes incrustadas incluyendo datos de ubicación y, a continuación, sitios como
Facebook, que muchos utilizan para poner fotos personales, historias y demás información relacionada, es el sueño de un ingeniero social. En un corto tiempo un perfil entero puede ser desarrollado con la dirección de una persona, trabajo, aficiones, fotografías y mucho más. Otro aspecto de los sitios de medios sociales que les hace ser excelentes fuentes de recogida de información es la capacidad de ser anónimo. Si el destino es divorciado recientemente un hombre de mediana edad, que ama a su página de Facebook, puede ser una mujer joven que está buscando un nuevo amigo. Muchas veces, mientras que el flirteo, la gente divulgar valiosas piezas de información. Combinar la capacidad de ser alguien o algo que quieras en la web con el hecho de que la mayoría de las personas creen todo lo que leen como una verdad del evangelio y lo que usted tiene es uno de los mayores riesgos para la seguridad.
Figura 2-4: Una escena típica en la página de ICanStalkU.com.
Informes públicos Los datos públicos pueden ser generados por entidades dentro y fuera de la empresa objetivo. Estos datos pueden consistir en informes trimestrales, informes gubernamentales, informes de analistas, registró ganancias para las empresas que cotizan en bolsa, y así sucesivamente. Un ejemplo de estos son Dunn y Bradstreet informes u otros informes de ventas que se venden por muy poco dinero y contienen un montón de detalles sobre la empresa objetivo. Otra vía analiza con más detalle más adelante, está utilizando fichas de fondo como las halladas en www.USSearch.com y www.intelius.com . Estos sitios, junto con muchos otros, pueden ofrecer servicios de verificación de antecedentes para tan poco como $1 por un informe limitado a una tarifa de 49 dólares al mes que permite ejecutar tantas comprobaciones como desee. Usted puede obtener mucha de esta información de forma gratuita a través de motores de búsqueda, pero algunos de los datos financieros detallados e información personal sólo puede obtenerse fácilmente y legalmente a través de un servicio de pago. Quizás lo más chocante es que muchas de estas empresas pueden incluso proporcionar datos como un número de Seguro Social de la persona a algunos clientes.
Utilizando el poder de observación Aunque no se utiliza lo suficiente como herramienta de ingeniería social , la simple observación puede decirle mucho acerca de su destino. ¿El destino de los empleados utilizan llaves, tarjetas RFID, u otros métodos para entrar en el edificio? Hay un área designada para fumar? Los dumpsters están bloqueados, y tiene el edificio cámaras externas? Dispositivos externos tales como fuentes de alimentación o unidades de aire acondicionado generalmente revela que la compañía de servicio, y que puede permitir que el ingeniero social otro vector para acceder.
Estas son sólo algunas de las preguntas que usted puede obtener respuestas a través de la observación. Tomar algún tiempo para ver el
destino, una película utilizando una cámara oculta y, a continuación, estudiar y analizar la información que más tarde puede enseñarle mucho y dar su información archivo un gran impulso. Atravesando la basura
Sí, tan duro como es de imaginar disfrutando saltar a través de la papelera, se puede producir una de las más lucrativas compensaciones para el acopio de información. La gente a menudo deseche las facturas, avisos, cartas, discos compactos, computadoras, llaves USB, y una plétora de otros dispositivos e informes que puede realmente dar increíbles cantidades de información. Como se mencionó anteriormente, si las personas están dispuestas a deshacerse de arte que vale millones, entonces las cosas que ven como basura suele ir sin un segundo pensamiento, a la derecha en la basura.
A veces, las empresas destruya los documentos que consideren como demasiado importante como para simplemente tirar, pero utilizan un sistema ineficiente shredder que deja el papel es demasiado fácil volver a ponerlos juntos, como se muestra en la figura 2-5 . Figura 2-5: unidireccionales grandes jirones dejan algunas palabras siguen siendo legibles.
Esta imagen muestra algunos de los documentos después de la trituración, pero algunas palabras todavía son apreciables. Este tipo de trituración puede ser frustrado con un
Poco tiempo y paciencia y algo de cinta, como se ve en la Figura 2-6 . Documentos que pueden ser incluso parcialmente grabado de nuevo juntos puede revelar cierta información muy devastadoras. Figura 2-6: Poniendo documentos volver juntos sólo lleva tiempo y paciencia.
Sin embargo, utilizando una trituradora que tritura ambas direcciones en un lío picada fina taping documentos volver juntos hace casi imposible, como se muestra en la figura 2-7 .
Figura 2-7: difícilmente puede decir esto fue una vez el dinero.
Muchas empresas utilizan los servicios comerciales que tengan sus documentos triturados lejos para su incineración. Algunas empresas incluso dejar la trituración a un tercero que, como probablemente habrá adivinado, deja abiertos a otro vector de ataque. Un ingeniero social que descubre el nombre de su proveedor para esto fácilmente puede imitar la persona de recogida y entrega de todos sus documentos. No obstante, dumpster diving puede ofrecer una forma rápida de encontrar toda la información que desee. Recuerde que algunos indicadores clave cuando se realiza un basurero inmersión:
Desgaste buenos zapatos o botas: Nada arruinará su día más rápido que saltar en un basurero y tener un clavo ir a través de su pie. Asegúrese de que sus zapatos igualan en Niza y apretadas, así como ofrecer protección de objetos afilados.
Vestir ropa oscura: Esto no necesitan mucha explicación. Usted
Probablemente deseará usar ropa no te importa tener que deshacerse de, y ropa oscura para evitar ser detectados. Llevar una linterna Agarrar y ejecutar: a menos que usted está en una zona aislada, que no tienen ninguna posibilidad de ser capturados, agarrando algunas bolsas e ir a otros lugares para bucear a través de ellos podría ser mejor. Dumpster diving casi siempre conduce a unas informaciones muy útiles. Un ingeniero social a veces incluso no tiene que sumergirse en un basurero para encontrar las mercancías. Ya se mencionó en el capítulo 1 es el artículo encontrado en www.social-engineer.org/resources/book/TopSecretStolen.htm , pero refuerza este pensamiento. La canadiense (CTU) de la unidad de lucha contra el terrorismo tenía planes para un nuevo edificio en el que se esbozaban sus cámaras de seguridad, cercas, y otros elementos de top-secret. Estos planos fueron arrojados fuera de sí, sólo arrojados a la basura, ni siquiera desmenuzado, y afortunadamente encontró una persona amable.
Esta historia es sólo uno de los muchos que muestran "el colmo de la estupidez humana", como afirma el artículo, pero un ingeniero social desde el punto de vista del buceo, la basura es uno de los mejores instrumentos de recolección de información.
Utilizando el software de perfilado El capítulo 7 describe las herramientas que componen algunos de los conjuntos de herramientas profesionales de los ingenieros sociales, pero esta sección ofrece un resumen rápido.
Contraseña profilers como contraseñas de usuario común Profiler (CUPP) y quién es tu papá (JMJ) puede ayudar a un perfil del ingeniero social el potencial de contraseñas, una empresa o persona puede utilizar. Cómo usar estas herramientas se discute en el Capítulo 7, pero una herramienta como la JMJ será raspar una persona o en la página web de la empresa y crear una contraseña desde la lista las palabras mencionadas en ese sitio. No es raro que las personas utilizan
palabras, nombres o fechas como contraseñas. Estos tipos de software hacen que sea fácil crear listas para probar. Herramientas increíbles como Maltego (véase el capítulo 7 para más detalles), hecha por Paterva, son el sueño de un recopilador de datos. Un ingeniero social Maltego permite realizar muchas y basadas en la web, búsquedas de recopilación de información pasiva sin necesidad de utilizar ningún tipo de servicios públicos, pero sí Maltego.
A continuación, se almacenará y gráfico estos datos en la pantalla para ser utilizada en la presentación de informes, exportar u otros fines. Esto realmente puede ayudar en el desarrollo de un perfil de una empresa. Recuerde, su objetivo es recopilar datos para aprender sobre la empresa objetivo y la gente dentro de la empresa. Una vez que un ingeniero social recopila datos suficientes, se forma una imagen clara en su mente en cuanto a la mejor manera de manipular los datos de los objetivos. Desea que el perfil de la empresa como un todo y saber aproximadamente cuántos empleados forman parte de algún club, un pasatiempo o grupo. ¿se donará a una cierta caridad o hacer que sus hijos vayan a la escuela? Toda esta información es muy útil en el desarrollo de un perfil.
Un perfil claro puede ayudar el ingeniero social no sólo en la elaboración de un buen pretexto, pero también puede indicar qué preguntas a utilizar, qué son buenos o malos días para llamar o venir onsite así como muchas otras pistas que pueden hacer que el trabajo sea mucho más fácil. Todos los métodos analizados hasta ahora son principalmente físicas, muy personal, métodos de recopilación de información. Yo no toque en el lado técnico de la recolección de información como los servicios como SMTP, DNS y Netbios, y el todopoderoso SNMP. Yo no cubrir algunos de los aspectos más técnicos que pueden ayudar con Maltego en capítulo 7 en más detalle. Estos métodos son vale la pena ver pero que están muy técnico en la naturaleza en contraposición a más "humana" en la naturaleza.
Cualquiera que sea el método que se utiliza para recopilar información, lógicamente, la pregunta que puede surgir ahora es saber dónde se reúnen, cómo recopilar, e incluso cómo catalogar, almacenar y mostrar esta información, ¿qué se puede hacer con ella? Como un ingeniero social, después de que la información debe empezar a planificar sus ataques. Para hacer esto, usted necesita comenzar a modelar un esquema que utilizará esta información. Una de las mejores maneras de empezar a utilizar estos datos para
desarrollar lo que se llama un modelo de comunicación.
Modelado de comunicación El más elaborado de nuestros medios de comunicación, al menos nos
Comunicarse. -Joseph Priestley
La comunicación es un proceso de transferencia de información de una entidad a otra. Comunicación implica interacciones entre al menos dos agentes, y puede ser percibido como un proceso de dos vías en el que hay un intercambio de información y una progresión de pensamientos, sentimientos o ideas hacia una meta aceptada mutuamente o de dirección. Este concepto es muy similar a la definición de la ingeniería social, excepto la suposición es que aquellos involucrados en la comunicación ya tienen un objetivo común, mientras que el objetivo de la ingeniería social es utilizar la comunicación para crear un objetivo común. La comunicación es un proceso mediante el cual la información es encerrado en un paquete y canalizada y es impartido por un emisor a un receptor a través de algún medio. Entonces, el receptor decodifica el mensaje y el remitente da retroalimentación. Todas las formas de comunicación requieren un emisor, un mensaje y un receptor. La comprensión de cómo funciona la comunicación es esencial para el desarrollo de un modelo de comunicación adecuada como un ingeniero social. La modelización de su comunicación como un ingeniero social nos ayudará a decidir el mejor método de entrega, el mejor método para la retroalimentación y el mejor mensaje que desee incluir.
La comunicación puede adoptar muchas formas diferentes. Hay medios auditivos, como el habla, la canción, y el tono de voz, y existen medios no verbales, tales como el lenguaje corporal, el lenguaje de señas, paralanguage, tacto y contacto visual. Independientemente del tipo de comunicación utilizado, el mensaje y cómo se entrega tendrá un efecto definido sobre el receptor. Comprensión de las reglas básicas es esencial para la construcción de un modelo para un destino. Algunas reglas no se puede romper, como la comunicación siempre tiene un emisor y un receptor. También cada uno tiene diferentes realidades personales que están construidos y afectados
por sus experiencias pasadas y sus percepciones. Todo el mundo percibe, experiencias, e interpreta las cosas de manera diferente sobre la base de estas realidades personales. Cualquier evento siempre será percibido en forma diferente por diferentes personas debido a este hecho. Si tiene hermanos, un buen ejercicio para probar esto es pedirles su interpretación o memoria de un
Evento, especialmente si es un evento emocional. Usted verá que su interpretación de este evento es muy diferente de lo que se recuerde. Cada persona tiene tanto física como mental de un espacio personal. Puede permitir o no permitir a la gente entrar en ese espacio o acercarse a usted dependiendo de muchos factores. Al comunicarse con una persona en cualquier manera, usted está tratando de entrar en su espacio personal. Como un ingeniero social comunica que estamos tratando de traer a alguien a su espacio personal y compartir esa realidad. Los intentos para lograr una comunicación eficaz a todos los participantes en otro lugar mental. Esto sucede con todas las interacciones, sino porque es tan común gente hacerlo sin pensarlo.
En las comunicaciones interpersonales dos capas de mensajes están siendo enviados: verbales y no verbales. Normalmente contiene una comunicación verbal o parte de idioma, ya sea oral, escrita o expresada palabra. En general, también tiene una parte no verbal-expresiones faciales, lenguaje corporal, o algún mensaje sin idiomas como emoticonos o fuentes. Independientemente de la cantidad de cada tipo de cue (verbal o no verbal), este paquete de comunicación se envía al receptor, y luego se filtra a través de su realidad personal. Ella va a formar un concepto basado en su realidad, y en base a eso empezará a interpretar este paquete. Como el receptor descifra este mensaje ella comienza a descifrar su significado, incluso si ese significado no es lo que el remitente pretende. El remitente sabrá si su paquete es recibido en el camino pensaba si el receptor da un paquete de comunicación de retorno para indicar su aceptación o denegación del paquete original. Aquí el paquete es la forma de comunicación: las palabras o cartas o mensajes de correo electrónico enviados. Cuando el receptor recibe el mensaje que ella tiene que descifrar. Hay muchos factores que dependen de cómo se interpreta. Ella está de buen humor, mal humor, feliz, triste, enojado, compasiva-todas estas cosas así como las otras indicaciones que alteran su percepción le ayudará a descifrar el mensaje.
El ingeniero social el objetivo tiene que ser dar tanto las
señales verbales y no verbales de la ventaja de alterar la percepción del destino para tener el impacto el ingeniero social deseos. Más algunas reglas básicas para la comunicación incluyen las siguientes:
Nunca dar por sentado que el receptor tiene la misma realidad que tú.
Nunca dar por sentado que el receptor interpreta el mensaje tal y como se concibió. La comunicación no es un absoluto, cosa finita. Siempre hay que asumir como muchas realidades diferentes existen como existen diferentes personas involucradas en la comunicación. Conocer estas reglas puede mejorar enormemente la capacidad de comunicaciones de buenos y útiles. Todo esto es bueno y excelente comunicación pero, ¿qué tiene que ver con el desarrollo de un modelo? Aún más, ¿qué tiene que ver con la ingeniería social?
El modelo de comunicación y sus raíces Como ya se estableció, la comunicación significa básicamente enviar un paquete de información a un receptor previsto. El mensaje puede provenir de numerosas fuentes como la vista, el oído, el tacto, el olfato y palabras. Este paquete es procesado por el destino y se utiliza para pintar un panorama general de "lo que se dice." Este método de evaluación es llamado el proceso de comunicación . Este proceso fue descrito originalmente por los científicos sociales Claude Shannon y Warren Weaver en 1947, cuando se desarrolló el modelo Shannon-Weaver, también conocida como "la madre de todos los modelos". El modelo Shannon-Weaver, según la Wikipedia, "encarna los conceptos de fuente de información, el mensaje, el transmisor, la señal, el canal, el ruido, el receptor, la información de destino, la probabilidad de error, codificación, descodificación information rate, [y] la capacidad de canal", entre otras cosas.
Shannon y Weaver define este modelo con un gráfico, como se muestra en la Figura 2-8 . En un modelo simple, también conocido como el modelo de transmisión, la información o el contenido es enviado en cierta forma desde un emisor a
un receptor o destino. Este concepto común de comunicación, simplemente ve a la comunicación como un medio de enviar y recibir información. Las ventajas de este modelo son su sencillez, generalidad y quantifiability.
Figura 2-8: La Shannon-Weaver "madre de todos los modelos".
Shannon y Weaver estructurado sobre la base de este modelo: Una fuente de información, que produce un mensaje Un transmisor que codifica el mensaje en señales Un canal, para que las señales están adaptados para la transmisión Un receptor que "descodifica" (reconstruye) el mensaje de la señal Un destino, donde llega el mensaje Argumentaron que los tres niveles de problemas de comunicación existentes en el seno de esta teoría: El problema técnico-exactamente cómo puede transmitirse el mensaje? El problema semántico-cómo es precisamente el sentido transmitido?
La eficacia problema sobre cómo funciona el significado recibido efectivamente influyen en el comportamiento? (Este último punto es importante recordar que la ingeniería social. El objetivo del ingeniero social es crear un comportamiento que el
ingeniero social quiere). Casi 15 años más tarde, David Berlo ampliado de Shannon y Weaver el modelo lineal de comunicación y creó el canal Sender-Message-
Receptor (SMCR) modelo de comunicación. El modelo SMCR separados en partes transparentes, como se muestra en la Figura 2-9 . Figura 2-9: El modelo de Berlo.
Se puede pensar en la comunicación como procesos de transmisión de la información regulada por tres niveles de reglas: Propiedades formales de signos y símbolos Las relaciones entre los signos/expresiones y sus usuarios. Las relaciones entre los signos y lo que representan Por lo tanto, se puede refinar la definición de la comunicación como interacción social donde al menos dos agentes que interactúan comparten un conjunto común de signos y un conjunto de normas comunes. En 2008, otro investigador, D. C. Balmund, combinan la investigación de muchos de sus anteriores cohortes con su propia y desarrolló el modelo transaccional de la comunicación, como se muestra en la Figura 2-10 .
En este modelo se puede ver que el canal y el mensaje puede revestir muchas formas, no sólo hablado, representado por la imagen. El mensaje puede ser por escrito, video o audio y el receptor puede ser una persona o
Muchas personas. La retroalimentación también puede tomar muchas formas. Combinar y analizar esta investigación puede ayudar a un ingeniero social desarrollar un sólido modelo de comunicación. No sólo los ingenieros sociales pueden beneficiarse de ello: todos los que pueda. Aprender a desarrollar un plan de comunicación puede mejorar la forma en que tratar con su cónyuge, sus hijos, su empleador o de los empleados se puede comunicar con nadie.
Figura 2-10: El nuevo y mejorado modelo de comunicación.
Porque el enfoque de este libro es los ingenieros sociales, necesita analizar lo que un ingeniero social puede tomar distancia de todo esto.
Después de leer toda esta teoría puede empezar a preguntarse cómo puede utilizarse. Recuerde, un social
Ingeniero debe ser un maestro en la comunicación. Ellos deben ser capaces de entrar y permanecer en una persona personal y espacio mental y no ofender o apague el destino. Desarrollar, aplicar y practicar modelos de comunicación eficaz es la clave para conseguir este objetivo. El siguiente paso es desarrollar un modelo de comunicación.
Desarrollar un modelo de comunicación Ahora que conoce los elementos clave de un modelo de comunicación, eche un vistazo a ellos desde los ojos de un ingeniero social:
La fuente: El ingeniero social es la fuente de la información o comunicación que va a ser retransmitido. El Canal: Este es el método de entrega. El mensaje: Probablemente la mayor parte del mensaje consiste en saber qué es lo que vas a decir al receptor(s). El receptor(s): Este es el objetivo. La retroalimentación: ¿Qué quiere que hagan después de otorgarles la comunicación? ¿cómo puede usar estos elementos de forma eficaz? El primer paso en el mundo de la comunicación está modelado a partir de su meta. Intente trabajar con un par de escenarios que podrían ser parte de un concierto: ingeniería social típica
Desarrollar un mensaje de correo electrónico de phishing dirigido en contra de 25 a 50 empleados y procurar ir durante las horas de trabajo de un sitio web no comercial que se incrustarán con código malicioso para penetrar en sus redes. Hacer una visita in situ a retratar a un potencial entrevistado que ha arruinado su CV por derramar café sobre ella y necesita convencer a la persona de recepción para permitir una llave USB para ser insertado en un ordenador para imprimir una copia del curriculum vitae.
Al desarrollar una estrategia de comunicación puede encontrar trabajando en el modelo en orden inverso para ser beneficiosa. Comentarios: ¿Cuál es tu respuesta deseada? La respuesta deseada, es que la mayoría de los empleados que envíe este correo electrónico a haga clic en
Él. Que es el ideal, por supuesto, usted puede ser feliz con sólo un puñado o incluso uno solo, pero el objetivo, la retroalimentación deseada, es que la mayoría de destinos, haga clic en el enlace de phishing. Receptores: Aquí es donde sus habilidades para la recolección de información vienen en práctico. Usted necesita saber todo acerca de los objetivos. ¿Les gusta el deporte? Son predominantemente masculino o femenino? Son miembros de los clubes locales? ¿Qué hacen en su tiempo libre? ¿tienen las familias? Son mayores o más jóvenes? Las respuestas a estas preguntas pueden ayudar al ingeniero social decidir qué tipo de mensaje que desea enviar.
Mensaje: Si el destino es predominantemente de 25-40 años de edad, del sexo masculino, con unas pocas son parte de una liga de fantasy-fútbol o baloncesto, tus metas pueden hacer clic en un enlace sobre deportes, mujeres, o a un evento deportivo. Desarrollar el contenido del correo electrónico es esencial, pero también la gramática, la ortografía y la puntuación son muy importantes a considerar. Uno de los mayores tip-offs para los correos electrónicos de phishing en el pasado ha sido la mala ortografía. Recibiendo un correo electrónico que dice así: "Haga clic aquí y escriba ur ur pasword para verificar la configuración de la cuenta," es un giveaway muerto a su ser un no-correo electrónico legítimo. El correo electrónico debe ser de fiar con buena ortografía y una atractiva oferta que se adapta a la meta. Incluso con el mismo objetivo, el mensaje cambiará dependiendo del género, edad y muchos otros factores. El mismo correo electrónico probablemente fallarían si los objetivos eran predominantemente femenino.
Canal: Esta respuesta a este elemento es fácil, porque ya sabes que va a ser un mensaje de correo electrónico. Fuente: Nuevamente, este elemento no es preocupante, ya que, el ingeniero social, son la fuente. Cómo creíble que depende de tu nivel de habilidad como un ingeniero social.
Escenario uno: el correo electrónico de phishing Los objetivos son 45 hombres que van desde la edad de 25 a 45. Fuera de los 45 objetivos, 24 están en la misma liga de baloncesto de fantasía. Todos se van a diario a un sitio ( www.myfantasybasketballleague.com) registrar a sus selecciones. Esto es verificado por los puestos en los foros.
El objetivo es conducir a un sitio que está disponible y que ahora poseen, www.myfantasybasketballeague.com , que es un pequeño error ortográfico. Este sitio es un clon del sitio que visita con un cambio-tiene incrustado un iframe. Habrá un botón de inicio de sesión en el centro de la página, que cuando se hace clic en él, les trae de vuelta al sitio real. La demora en la carga y haciendo clic en el código dará el tiempo necesario para piratear sus sistemas.
¿Cómo escribir el correo electrónico? Aquí está un ejemplo que escribí:
Hola, Tenemos algunas noticias interesantes en mi fantasía liga de baloncesto. Hemos añadido algunas características adicionales que le permiten un mayor control sobre sus selecciones así como algunas características especiales. Estamos trabajando duro para ofrecer a todos nuestros miembros, pero algunos se podrán aplicar tarifas de servicio adicionales. Estamos encantados de decir que las primeras 100 personas en iniciar sesión obtendrá este nuevo servicio gratuito. Haga clic en este enlace para acceder a la página especial, haga clic en el botón gris de login en la página e inicie sesión para tener estas características agregadas a su cuenta. www.myfantasybasketballeague.com
Gracias, El equipo MFBB Esta dirección de correo electrónico sería más probable obtener al menos los 24 que ya están en la liga interesado lo suficiente como para hacer clic en el vínculo y compruebe el sitio y pruebe estas nuevas características de forma gratuita. Analizar ese correo electrónico. En primer lugar, contiene una oferta que atraiga a los actuales miembros de esa liga de la fantasía. Muchos de ellos comprenden que la oferta está limitada solamente a los primeros 100, de manera que se haga clic en tan pronto como se
reciba el correo electrónico, el cual es más probable en el trabajo. El sitio que el email les impulsa a tiene el código malicioso y aunque la mayoría caerá víctima, todas las necesidades de ingeniería social maliciosa es una víctima.
Observe también que la dirección de correo electrónico contiene buena gramática y ortografía, un tentador anzuelo, y suficiente motivación para hacer clic rápidamente. Es un correo electrónico perfecto, basado en un sólido modelo de comunicación.
Escenario Dos: Llave USB In situ la situación es un poco más difícil de hacer porque es en persona. Sólo puede hacer mucho para "falsificar" su identidad en la persona. En este escenario, recuerde que debe disponer de todos estos detalles en la memoria porque no se puede estar tirando hacia afuera y utilizando las Fichas-Guía. También es importante recordar que a menudo sólo tenemos una oportunidad de causar una buena impresión. Si hacemos un mal trabajo en ella, puede arruinar el resto del concierto. Comentarios: El objetivo de este escenario es conseguir que el recepcionista nos acepte su unidad USB que tiene un programa malicioso. El programa se carga automática y raspar su sistema para toda la información, como nombres de usuario, contraseñas, cuentas de correo electrónico, Sam archivos que contienen todas las contraseñas en el sistema, y mucho más, copiar todo a un directorio en la unidad USB. También crea una conexión inversa de la máquina del recepcionista para sus servidores, lo que le permite acceder a su máquina y esperemos que la red. Me gusta usar el Metasploit Framework o el kit de herramientas de ingeniería social (véase el capítulo 7) que enlaza con Metasploit. Metasploit ejecuta código de explotación sobre sus víctimas y ha incorporado un controlador llamado Meterpreter. Los usuarios pueden crear secuencias de comandos para muchas cosas, como el registro de las pulsaciones del teclado, capturas de pantalla y recon de máquinas de la víctima.
Receptores: tener una verdadera meta puede ser complicado porque si tu objetivo es poco receptivos a la idea, el plan se disparó. Debe ser cálido, amable y convincente. Esto debe hacerse rápido, demasiado, porque demasiado tiempo permitirá poner en duda. Pero si te mueves demasiado rápido puede provocar la duda y el temor, matando a tus posibilidades. Un perfecto equilibrio debe ser cumplida. Mensaje: porque estás entregando el mensaje en persona, debe ser claro y conciso. La historia básica es que usted vio el anuncio en el periódico para un administrador de base de datos y le llamé y habló a Debbie, la persona de HR. Ella dijo que estaba reservado
hoy pero usted debe parar y caer un currículum para su revisión y luego reunirse con ella al final de la semana. Mientras se conduce, una ardilla se esfumaba, causando que usted slam en los frenos y provocando su café a salir del titular y derrame en su bolsa, arruinando su reanuda
Y otras cosas. De todos modos, usted tiene otra cita pero realmente necesita este trabajo y me pregunto si estaría dispuesta a imprimir una copia nueva de su unidad USB. Canal: Vas en persona usando verbal, el lenguaje corporal y facial, de comunicación. Fuente: Nuevamente, esto es como el ingeniero social, a menos que tenga una buena razón para tener un stand en. La celebración de un café-tiñe la carpeta con algunos papeles en húmedo puede ayudar a vender la historia. Mirando desanimado y nomacho alfa-ish también pueden ayudar a vender. Amablemente hablar con ella y no utilizar lenguaje obsceno le ayudará a sentir un gusto a usted y quizás incluso algunas lástima. La llave USB debe contener un archivo llamado myresume.doc o myresume.pdf y ser imprimible. Los archivos PDF son los formatos más utilizados, ya que la mayoría de las empresas están ejecutando una versión antigua de Adobe Reader que es vulnerable a diversos ataques. Asegúrese de que el currículo está en un formato que permite que la mayoría de la gente para poder abrirlo, no por un extraño formato. La mayoría de las veces la gente quiere ayudar. Quieren poder ayudar a una persona en peligro si la historia es creíble, así como conmovedoras. Para un toque especial si realmente le falta un corazón como un ingeniero social, puede darle un giro a la historia: En mi camino, fue mi turno de hoy dar de baja a mi hija en la escuela. Cuando ella subió sobre el asiento para darme un beso de despedida ella golpeó sobre mi café en mi bolsa. Yo ya estaba atrasado y más cerca de aquí de casa; me podrías imprimir una copia nueva?
De cualquier manera, esta historia funciona habitualmente y conducirá a la llave USB está insertado en el equipo y lo más probable es que sea una transacción completa del equipo del recepcionista, que puede conducir a un compromiso total de la empresa.
La potencia de los modelos de comunicación La comunicación es una poderosa herramienta de modelado que es un debertener habilidad para cada ingeniero social. La parte más difícil de la comunicación es modelado
Asegurar tus sesiones de recopilación de información son sólidos. En los dos escenarios anteriores, no tener suficiente un buen plan y el modelo llevará al fracaso. Una buena forma de practicar comunicación modelado es escribir un modelo para manipular a la gente que conoce bien a su marido, esposa, padre, hijo, jefe, o amigo a hacer algo que usted desea, a tomar algunas medidas que usted desee. Establece una meta, nada maliciosa, como conseguir que alguien acepte una diferente o un lugar de vacaciones para ir a un restaurante que te gusta y tu pareja odia, o para permitirle gastar algo de dinero en algo que normalmente no podría pedir. Lo que se puede idear, escribir los cinco componentes de la comunicación y luego ver cómo la comunicación pasa cuando tienes un plan por escrito. Encontrará que con sus metas claramente definidas, mejor puede probar sus métodos de comunicación, ingeniería social y ser capaz de alcanzar sus metas con mayor facilidad. Enumere los cinco puntos siguientes y rellenarlos, uno por uno, conectando los puntos a medida que avanza.
Fuente Mensaje Canal Receptores Comentarios Comunicación rendimientos modelado de información muy valiosa y sin él, la mayoría de la comunicación no será satisfactoria para un ingeniero social. Como se mencionó anteriormente, el acopio de información es el quid de cada concierto de ingeniería social, pero si usted se convierte en experto en el acopio de información y que son capaces de reunir increíbles cantidades de datos, pero no sabe cómo usarlo, es un desperdicio. Aprender a ser un maestro en la recopilación de información y, a continuación, práctica que pone en acción con modelos de comunicación. Esto es sólo el comienzo, pero no puede, literalmente, cambiar la forma de tratar con las personas, tanto como un ingeniero
social y en contextos cotidianos. Sin embargo mucho más entra en el desarrollo de un sólido mensaje en el modelo de comunicación. Un aspecto clave de aprender a comunicarse, cómo manipular y cómo ser un ingeniero social está aprendiendo cómo utilizar preguntas, como se discutió
En el próximo capítulo.
Capítulo 3
Obtención
El supremo arte de la guerra es someter al enemigo sin luchar. -Sun Tzu
Ser capaz de sacar a la gente es una habilidad que puede hacer o romper un ingeniero social. Cuando la gente vea y hable con usted, deberían sentirse a gusto y desea abrir. ¿Has conocido a alguien y al instante sentí, "Wow, me gusta esa persona"? ¿Por qué? ¿Qué es lo que le hizo sentir de esa manera? Era su sonrisa? La forma en que esperaba? La forma en que te trata? Su lenguaje corporal?
Quizás él incluso parecía estar "en conexión" con sus pensamientos y deseos. La forma en que te miraban no era crítico y enseguida se sentía a gusto con él. Ahora imagine que usted puede aprovechar esa y dominar esa habilidad. No sacudimos este capítulo como una simple "cómo construir rapport" lección. Este capítulo trata sobre la obtención , una potente técnica utilizada por espías, estafadores, y los ingenieros sociales, así como doctores, terapeutas y el cumplimiento de la ley, y si quieren ser protegidos o ser un gran ingeniero social auditor, entonces usted necesita para dominar esta habilidad. Se utilizan eficazmente, la obtención puede producir resultados asombrosos.
¿Qué es la obtención? Muy pocos aspectos de ingeniería social son tan potentes como evocación. Esta es una de las razones por las que está cerca de la parte superior del marco. Esta habilidad solo puede cambiar la forma en que la gente te mira. Desde un punto de vista de la ingeniería social, puede cambiar la manera en que la práctica de la seguridad. Este capítulo analiza ejemplos de evocación y experto profundiza en cómo
utilizar esta poderosa habilidad en un contexto de ingeniería social.
Antes de entrar en demasiado profunda, debe empezar con lo básico.
¿Qué es la obtención? Obtención significa traer o sacar o llegar a una conclusión (la verdad, por ejemplo) por la lógica. Alternativamente, es definida como una estimulación que llama (o similares), dibuja una clase particular de comportamientos, como en "la obtención de su testimonio no fue fácil". Leer esa definición de nuevo y si no te da la piel de gallina puede tener un problema. Piense en lo que esto significa. Ser capaz de utilizar eficazmente la obtención significa que puede moda preguntas que llamar a la gente y animarles a tomar un camino de un comportamiento que desea. Como un ingeniero social, ¿qué significa esto? Ser efectivos en la obtención significa que usted pueda dar forma a tus palabras y tus preguntas de tal manera que mejorará su nivel de habilidad a un nivel completamente nuevo. En términos de obtención de información, obtención de expertos se puede traducir en el destino que desean para responder a todas sus exigencias.
Quiero aprovechar esta discusión un paso más allá, porque muchos gobiernos educar y advertir a sus empleados contra la obtención porque es usado por espías de todo el planeta. En materiales de capacitación, la Agencia de Seguridad Nacional del gobierno de los Estados Unidos define la obtención como "el sutil extracción de información durante una conversación aparentemente normal e inocente". Estas conversaciones pueden ocurrir en cualquier otro lugar que el destino es un restaurante, un gimnasio, una guardería infantil en cualquier lugar. Obtención funciona bien porque es de bajo riesgo y a menudo muy difícil de detectar. La mayoría de las veces, los objetivos no siempre saben de dónde vinieron de filtración de información. Incluso si se sospecha que hay una mala intención, uno fácilmente puede pasar que fuera como enojado un extraño ser acusado de mal hacer sólo una pregunta.
Obtención funciona tan bien por varias razones: La mayoría de las personas tienen el deseo de ser educado, especialmente a los desconocidos.
Los profesionales quieren aparecer bien informadas e
inteligentes. Si se elogia, suele hablar más y divulgar más.
La mayoría de las personas no mentirían en aras de la mentira. La mayoría de las personas responden amablemente a quienes parecen preocupados por ellas.
Estos factores clave acerca de la mayoría de los seres humanos son la razón por la evocación funciona tan bien. Conseguir que la gente hable acerca de sus logros es demasiado fácil. En un escenario en el que se me encargó para reunir intel en una empresa, me reuní con mi objetivo en función de la cámara de comercio local. Porque era un mezclador me quedó atrás hasta que vi el objetivo acercarse al bar. Llegamos al mismo tiempo y debido a que el objetivo de estas funciones es atender y saludar a la gente e intercambiar tarjetas de negocios, mi primer movimiento no era extrema.
Le dije, "Escapando de los buitres"? Él respondió con una carcajada, "Sí, esto es lo que hace que estas cosas vale la pena el tiempo-bar abierto". Le he escuchado, y pedí una bebida semejante. Me inclino con mi mano, y dijo, "Paul Williams". "Larry Smith". Saqué una tarjeta de negocios yo había pedido online. "Yo trabajo con una pequeña empresa de importación como la cabeza de la compra". Dijo que me entregó su tarjeta, "Yo soy el CFO de XYZ". Con una sonrisa me respondió, "Tú eres el chico con los Bucks, por eso después de que todo el mundo está ahí fuera. ¿Qué es exactamente lo que ustedes hacen?". Él bagan para relacionar algunos detalles de su empresa, sus productos, y cuando él se enumeran uno que es bien conocido, me dijo, "Oh bien, ustedes hacen que el widget ; Me encanta esa cosa. He leído en la revista XYZ se batió un nuevo récord de ventas para ustedes." Desde mi anterior recopilación de información sabía que tenía interés personal en ese dispositivo para mi alabanza fue bien recibida. Él comenzó a hinchar el pecho un poco. "¿Sabía usted que el dispositivo más vendido en el primer mes que nuestro anterior y siguiente cinco productos combinados?"
"Yikes, así puedo ver por qué, porque me he comprado cinco yo." Yo chuckled suave a través de la alabanza.
Después de otra bebida y algo más de tiempo pude descubrir que adquirió recientemente el software de contabilidad, el nombre de la CSO (y el hecho de que él estaba de vacaciones por unos días), y que mi amigo, aquí también se va de vacaciones pronto a las Bahamas con su esposa. Esta información aparentemente inútil no es inútil. Tengo una lista de detalles acerca del software, gente, y vacaciones que me puede ayudar a planear un atentado. Pero yo
No quería parar allí; fui a matar con una pregunta como esta:
"Sé que esto es una extraña pregunta, pero somos una pequeña empresa y mi jefe me dijo que me la investigación y comprar un sistema de seguridad para las puertas. Sólo usamos claves ahora, pero él estaba pensando RFID o algo así. ¿Sabe qué utilizan ustedes?". Esta pregunta me pareció enviaría rojas bengalas y señales de humo. En su lugar, dijo: "No tengo ni idea; Acabo de firmar los cheques. Lo que sí sé es que tengo esta fantasía poco tarjeta…" como él saca su billetera para mostrar su tarjeta. "Creo que es RFID, pero todo lo que sé es que yo ola mi monedero delante de la cajita y la puerta se abre". Intercambiamos risas y salí de ahí con el conocimiento que llevó al gran éxito de algunos vectores de ataque. Como habrás notado, es similar al de la obtención y vinculado a la recolección de información. Esta particular sesión de recopilación de información se hizo mucho más fácil por un sólido pretexto (discutidos en el capítulo 3), así como buenas habilidades de obtención. Obtención de habilidades son lo que hizo las preguntas fluir suavemente y qué hizo el destino se sienta cómodo respondiendo a mis preguntas. Sabiendo que él estaba de vacaciones y qué tipo de software de contabilidad se utiliza como seguridad de bloqueo de la puerta y yo era capaz de planificar una visita in situ a reparar un "fallo" cuadro de RFID y reloj de tiempo. Simplemente diciéndole a la recepcionista nos, "Larry me llamó antes de que partiera para las Bahamas y dice que hay un reloj de tiempo por el departamento de fabricación que no se está registrando correctamente. Me tomará unos pocos minutos para probar y analizar." Me ha dado acceso en cuestión de segundos sin haber sido interrogado.
Obtención me llevó a ese éxito porque con los conocimientos que me dieron no había ninguna razón para que la recepcionista para dudar de mi pretexto. Simple, luminosa, bien ventilada la conversación es todo lo que se necesita para obtener algunas de las mejores informaciones de
muchas personas. Lo comentado hasta ahora, definir claramente sus objetivos para lograr los máximos resultados es vital. La obtención no se utilizan simplemente para la recolección de información, pero también puede ser utilizado para solidificar su pretexto y obtener acceso a la información. Todo esto depende de un pensamiento claramente definido y obtención de modelo.
Los objetivos de obtención La revisión de la definición para la obtención puede darle una ruta clara de sus objetivos. Realmente, aunque, puede hervir hasta llegar a una cosa. Un ingeniero social quiere el destino a tomar una acción, ya sea que la acción sea tan simple como contestar una pregunta o tan grande como para permitir el acceso a una determinada área restringida. Para conseguir el objetivo a cumplir, el ingeniero social hará una serie de preguntas o mantener una conversación que motive la meta de ese camino.
La información es la clave. La mayor parte de la información que se recopile, más exitosa será el ataque. Porque la obtención no es amenazador, es muy exitosa. Cuente cuántas veces en una semana usted tiene poco sentido conversaciones con alguien en una tienda, cafetería, o en otros lugares. Toda la metodología de las conversaciones está impregnada de evocación y es usado en una manera no malintencionada diariamente. Por eso es tan eficaz. En un episodio del popular programa de televisión británico el verdadero ajetreo , los anfitriones demostraron la facilidad de muchos ataques de ingeniería social. En este episodio el objetivo fue llamar a un destino en un juego de suerte que estaba arreglado. Para hacerlo alguien tenía un compañero que actuaba como un completo extraño jugar un papel en interesarse en la conversación con el atacante. Esta conversación se dibuja en los alrededores del pueblo, que hizo suscitar respuestas adecuadas desde el destino muy fácil. Este es un método que funciona bien.
Cualquiera que sea el método utilizado, el objetivo es obtener información, a continuación, usar esa información para motivar un destino para la ruta el ingeniero social lo quiere tomar. La comprensión de este hecho es importante. Los capítulos posteriores tratan pretexting y otras tácticas de manipulación, pero usted no quiere confundir la obtención con aquellos. Consciente de que la obtención es la conversación es importante. Seguramente puede estar estrechamente vinculada a su pretexto, el lenguaje corporal, y ojos de tacos, pero todas esas palidecen en comparación con su capacidad de involucrar a la gente en la conversación.
Algunos expertos están de acuerdo en que dominar el arte de la conversación tiene tres pasos principales: 1. Ser natural. Nada puede matar una conversación más rápido que aparente ser incómodo o antinatural en la conversación. Para ver esto por ti mismo pruebe este ejercicio. Tener una conversación con alguien acerca de
Algo que usted sabe mucho acerca de. Si puede grabar de alguna manera o hacer que alguien tome nota, ver cuál es su postura, su postura y la forma de hacer valer sus conocimientos. Todas estas cosas van a gritar la confianza y naturalidad. Luego inyectarse usted mismo en una conversación, no saben nada de y tienen la misma grabación o amigo observando. Ver cómo todos estos aspectos no verbales cambian cuando usted intenta inyectar un pensamiento inteligente en una conversación que desconocemos. Este ejercicio le muestra la diferencia en ser naturales y no naturales. La(s) persona(s) que usted está conversando con podrá ver fácilmente, lo cual matará a todas las posibilidades de éxito de la obtención. ¿Cómo puede parecer natural en las conversaciones? Así llegamos a la etapa 2.
2. Educarse a sí mismo. Usted debe tener conocimiento de lo que se le está hablando a sus objetivos. Esta sección debe venir con un big fat luz de neón rojo de advertencia, sino porque cada libro no puede incluir uno permítaseme recalcar esta parte:
Es imperativo que no pretender que es más de lo que puede razonablemente ser creído. Confundido? He aquí un ejemplo para romperla. Si desea obtener la composición química de un producto top-secret y su obtención de destino es uno de los químicos implicados en la elaboración del producto, y decides empezar a hablar de la química, no jugar a sí mismo como un químico de clase mundial (a menos que usted esté). Él puede tirar algo en usted que le mostrará no saben nada y, a continuación, su cubierta está fundida y así es la evocación.
Un enfoque más realista podría ser que usted es un estudiante de investigación XYZ, y se le dijo que tenía un asombroso conocimiento en esta área. Debido a su experiencia, sólo quería hacerle una pregunta sobre una fórmula química que está trabajando y por qué no parece estar funcionando. El punto es que todo lo que usted eligió para conversar acerca y quienquiera, realizar investigaciones, en la práctica, y estar preparado.
Tienen el conocimiento suficiente para hablar inteligentemente acerca de un tema que será de interés para el destino. 3. No ser codiciosos. Por supuesto, el objetivo es obtener información, obtener respuestas, y dada la llave del reino. Sin embargo, no deje que sea el
El foco. Que están allí sólo para usted rápidamente se vuelven evidentes y el objetivo perderá interés. A menudo, dar a alguien algo que despertará el sentimiento de reciprocidad (que se examinan en el capítulo 6), donde él o ella ahora se siente obligado a dar algo a cambio. Siendo de esta manera en la conversación es importante. Realizar la conversación de un toma y daca, a menos que usted está conversando con una persona que quiere dominar la conversación. Si él quiere dominar, déjelo. Pero si usted consigue un pocas respuestas, sentir la conversación y no obtener codiciosos, tratando de ir más y más profundo, que puede levantar una bandera roja. A veces las personas que están etiquetadas como "mejor conversationalists" en el mundo son aquellos que hacen más escuchando que hablando.
Estos tres pasos para el éxito de la obtención literalmente puede cambiar la forma de conversar con gente a diario, y no sólo como un ingeniero social o un auditor de seguridad, sino como una persona común. Personalmente, me gusta añadir uno o dos pasos hacia el "top 3". Por ejemplo, un aspecto importante es la obtención de las expresiones faciales durante una conversación. Tras su mirada es demasiado intenso o demasiado relajado puede afectar la manera en que la gente reacciona a sus preguntas. Si tus palabras son calmas y se ha acoplado el destino en una conversación, pero su lenguaje corporal o expresiones faciales muestran desinterés, puede afectar el estado de ánimo de la persona, aunque ella no lo sabe. Esto puede parecer extraño para traer aquí, pero soy un fan de Cesar Milan, aka, The Dog Whisperer. Creo que el tipo es un genio. Él toma los perros que parecen insubordinados y en cuestión de minutos tiene tanto los perros y sus propietarios producen alta calidad de rasgos de personalidad que se merecen una relación muy satisfactoria para ambos. Básicamente, les enseña a las personas a comunicarse con un perro-cómo preguntar y dígale que se hacen las cosas en un idioma que entienda. Una de las cosas que él predica que creo completamente en que el "espíritu" o energía de la persona afecta al "espíritu" o energía del perro. En otras palabras, si la persona se aproxima al perro todo tenso y ansioso, incluso
si las palabras son tranquilas, el perro actuará tensa, corteza más y más en el borde. Obviamente, las personas no son lo mismo que los perros, pero realmente creo que esta filosofía se aplica. Un ingeniero social enfoques como un objetivo de su "espíritu" o energía afectará a la percepción de la persona. La energía es retratado a través de
El lenguaje corporal, expresiones faciales, vestirse y asearse, y luego las palabras pronunciadas para volver arriba. Incluso sin saberlo, la gente recogida en estas cosas. ¿Alguna vez has pensado o escuchado a alguien decir, "ese chico me dio escalofríos" o "Ella miró como una buena persona"? ¿Cómo funciona esto? La persona del Espíritu o la energía se transmite a su "sensores", que los datos se correlacionan con las experiencias pasadas, y luego un juicio está formado. La gente no instantáneamente, muchas veces sin siquiera saberlo. Así la energía cuando usted va a obtener debe coincidir con el papel que van a desempeñar. Si tu personalidad o maquillaje mental no le permiten reproducir fácilmente un gestor no intentarlo. Trabajar con lo que tiene. Personalmente, siempre he sido una persona sociable y mi punto fuerte no se tratan temas como la química o matemáticas avanzadas. Si yo estuviera en la situación mencionada anteriormente no quiero intentar jugar el papel de una persona que sabe sobre esas cosas. En lugar de mi evocación podría ser tan simple como un extranjero interesado en iniciar una conversación sobre el clima.
Sea cual sea el método elegido para utilizar, puede tomar algunas medidas para que el borde superior. Uno de estos pasos se denomina pretensión .
Precarga Ustedes están en línea para comprar su boleto de cine de $10 y bombardeada con sobrecarga sensorial de los carteles de las próximas películas. Debe estar en línea para comprar tus $40 valor de palomitas y refrescos, ver más carteles, y luego empujar a su manera a través de conseguir un asiento. Por último, la película comienza cuando se le presenta una serie de clips sobre las próximas películas. A veces, estas películas no están aún en producción todavía, pero el locutor viene y dice, "La película más divertida desde…" o la música comienza con un tono ominoso, una espesa niebla llena la pantalla, y el voiceover intones, "se pensaba que era más asesino del adolescente Parte 45 …". Independientemente de la película, los publicistas están decirle cómo se
sienten, en otras palabras, la pretensión de que lo que debe pensar en esta película comienza antes de la vista preliminar. A continuación, el corto 1-3 minutos tienen que mostrar de qué se trata la película pasó mostrando clips para seducir a su deseo de ver la película y hacer un llamamiento a la gente que quiere la comedia, horror, o historia de amor.
No mucho se ha escrito sobre la precarga, pero es un tema muy serio. Precarga indica que puede hacer exactamente lo que dice la precarga de objetivos con información o ideas sobre cómo desea reaccionar a cierta información. La precarga se utiliza a menudo en mensajes de marketing; por ejemplo, en la cadena nacional de restaurantes anuncios que muestran hermosa gente riendo y disfrutando de la comida que se ve tan hermoso y perfecto. Como se suele decir "yummm!" y "Ohhh!" casi se puede saborear la comida.
Por supuesto como un ingeniero social no se puede ejecutar un comercial de sus objetivos, de modo que ¿cómo puede usar la precarga? Como mucho en el mundo de la ingeniería social, tendrás que empezar desde los resultados finales y trabajar hacia atrás. ¿Cuál es su objetivo? Usted podría tener el objetivo estándar de obtención para obtener información de un destino en un proyecto que ella está trabajando en la o las fechas que ella estará en la oficina o de vacaciones. Sea lo que sea, debe establecer la meta en primer lugar. Siguiente es decidir el tipo de preguntas que desea solicitar y, a continuación, decidir qué tipo de información se puede precargar una persona desee contestar a esas preguntas. Por ejemplo, si sabe que esta noche quieres ir a un lugar de asados que tu cupón-esposa cariñosa no disfrutamos, pero usted está en el humor para un rib eye, puede precargar para obtener una respuesta que pueda estar en su favor. Quizás más temprano en el día usted puede decir algo como, "Cariño, ustedes saben de qué estoy en el estado de ánimo? Un grande, jugosa, bistec a la parrilla. El otro día yo estaba conduciendo a la oficina de correos y Fred bajando la calle tenía su barbacoa. Él apenas había comenzado cocinar los filetes en el carbón y el olor provenía en la ventanilla del automóvil y ha venido atormentando a mí desde entonces." Si esto provoca una respuesta en este momento exacto no es importante; lo que hicieron es plantar una semilla que conmovió a todos los sentidos. Usted le hizo imaginar el bistec chisporroteante en la parrilla, habló acerca de verlos pasar, habló sobre el olor a humo, y sobre cuánto usted quería uno.
A continuación, supongamos que usted traiga a casa el papel y
como vas a través de ella se ve un anuncio con un cupón para el restaurante al que desea ir. Usted deja simplemente que la página doblada sobre la mesa. De nuevo, tal vez su esposa lo ve o tal vez no, pero lo más probable es que ya lo dejó con el correo, porque usted ha mencionado el bistec, y porque ama cupones she verá el cupón dejó sobre la mesa.
Ahora más tarde ella viene a ti y dice, "¿Qué es lo que quieres para cenar esta noche?" Aquí es donde entra en juego toda su pretensiónusted mencionó el olfato, la vista, y el deseo de bistec. Ustedes dejaron fácil de encontrar un cupón en la mesa para el restaurante de bistec de elección y ahora es la cena tiempo de discusión. Usted contesta ella con, "En lugar de hacer que cocinar y tener un lío para limpiar esta noche, no hemos sido XYZ filetes en un rato. ¿Qué pasa si nos acaba de llegar a ese lugar esta noche?". Sabiendo que no le gusta ese lugar todo lo que puede esperar es la precarga está trabajando. Ella responde: "Yo vi un cupón para que coloque en el periódico. Tenía un comprar una comida obtenga una segunda mitad de fuera. Pero usted sabe que no me gusta…".
Como ella está hablando puede saltar y alabanza: "Ja! Cupón reina ataca de nuevo. Heck, sé que no les gusta el bistec demasiado sino que escucho de Sally que tienen Comidas de pollo impresionante, hay demasiado".
Unos minutos más tarde, usted está en el camino a steak cielo. Mientras que un asalto frontal indicando su deseo de ir a XYZ más probablemente habría reunido con un rotundo "no!" la precarga ayudó a establecer su mente para aceptar su entrada y funcionó. Otro ejemplo simplista realmente antes de pasar: Un amigo camina para arriba y dice, "Tengo que contarles una historia realmente divertido." Lo que le sucede a usted? Incluso puede empezar a sonreír ante la historia comienza y su previsión es escuchar algo gracioso, por lo que mirar y esperar las oportunidades para reír. Él precargado y usted anticipaba el humor. ¿Cómo estos principios trabajan dentro del mundo de la ingeniería social? La precarga es una habilidad en sí misma. Poder para sembrar ideas o pensamientos en un Camino que no es obvio o prepotente a veces tiene más habilidad que la obtención en sí. Otras veces, dependiendo de la meta, la precarga puede ser bastante compleja. El bistec anterior escenario es un problema complejo. La precarga tomó algo de tiempo y energía, donde una simple precarga puede ser algo tan simple como averiguar qué tipo de coche que conduce o alguna otra
pieza de información inocua. En una conversación informal donde se "suceder" a estar en el mismo deli al mismo tiempo como su objetivo de empezar una conversación casual con algo como, "Hombre, me encanta mi Toyota. Este chico en un Chevy simplemente apoyada en mí, en el estacionamiento, ni siquiera un rasguño." Con un poco de suerte que trabaje con la meta en la conversación, su exclamación sobre su automóvil podría
Calentarlo a las preguntas que se pueden colocar sobre tipos de automóviles u otros temas de los que desea recopilar en intel. El tema de la precarga tiene más sentido a medida que usted comience a analizar cómo se puede utilizar la obtención. Los ingenieros sociales han sido dominar esta habilidad durante tanto tiempo como la ingeniería social ha sido de alrededor. Muchas veces el ingeniero social descubre que él tiene esta habilidad antes de que se convierte en una vida de ingeniería social. Como un joven o un adulto joven se encuentra interactuando con la gente sencilla, y posteriormente descubre que gravita hacia el empleo que utiliza estas habilidades. Quizás él es el centro de su grupo de amigos y la gente parece que le dicen todos sus problemas y no tienen ningún problema para hablar con él sobre todo. Más tarde se da cuenta de que estas habilidades son lo que obtiene de él a través de puertas que puedan cerrarse lo contrario. Cuando yo era joven siempre tuve este talento. Mis padres me dicen historias de cómo yo en cinco o seis años se iniciaban conversaciones con extraños, a veces incluso caminar hacia la cocina restaurantes concurridos para formular preguntas acerca de nuestra Orden o preguntar cómo eran las cosas que realiza. De alguna manera me había salido con la suya, ¿por qué? Probablemente porque no sabía que este comportamiento no era aceptable y porque lo hice con confianza. Como he ido creciendo, esa habilidad (o falta de temor) entró en plena vigencia. También parece que la gente, incluso a veces extraños, amaba a contarme sus problemas y hablar conmigo sobre las cosas. Una historia que creo que ayuda a ver cómo era capaz de utilizar no sólo la pretensión de obtención sino también buenas calificaciones fue cuando tenía alrededor de 17 ó 18 años.
Yo era un ávido surfista y hacer trabajos para apoyar mi hobbybásicamente cualquier cosa, desde pizza a domicilio a cortador de fibra de vidrio para salvavidas. Una vez corrí mandados para mi padre, que tenía una empresa de consultoría financiera y contable. Me gustaría entregar documentos a sus clientes, conseguir firmas, y traerlos de vuelta. A menudo, muchos de los clientes abriría y me
dicen todo acerca de sus vidas, los divorcios, y sus éxitos y fracasos empresariales. Normalmente esto se inició con una pequeña reunión con ellos me dice cómo gran mi papá fue a ellos. En el momento nunca entendí por qué la gente, especialmente de los adultos, se abriría hasta un 17-18 años con las razones de su universo está rompiendo aparte. Un cliente en particular me gustaría visitar a menudo poseían un complejo de apartamentos. Ella
Nada era enorme y lujoso; él sólo había unas cuantas propiedades que poseía y administrado. Este pobre chico tenía verdaderos problemas, problemas familiares, problemas de salud y problemas personales, todo lo que él me decía rutinariamente acerca de tan largo como me gustaría sentarse y escuchar. Esto es cuando se comenzó a golpearme que podía salirse con la suya diciendo o haciendo cosas increíbles si acabo de pasar tiempo escuchando a la gente. Se les hizo sentir importante y como yo era una buena persona. No importaba si me senté allí pensando en mi próximo gran ola; lo que importa es que he escuchado. Normalmente me gustaría escuchar mientras yo podía soportar la increíble cantidad de humo de tabaco se puso out (había fumado más que cualquier persona que he visto en mi vida). Pero me gustaría sentarse y escuchar y porque yo era joven y no tenía ninguna experiencia, quisiera ofrecer ningún consejo, ninguna solución, sólo un oído. La cosa era que yo estaba verdaderamente preocupado; yo no aparente. Ojalá hubiese una solución. Un día me dijo acerca de cómo quería retroceder en el oeste donde su hija fue y estar cerca de la familia. Yo quería avanzar en la vida y conseguir un trabajo pensé que sería cool, divertidos y darme algo más efectivo para las tablas de surf y otras cosas que me "necesario." Durante una de mis sesiones de escucha, una loca idea surgió en mi cabeza, y él me miraba como responsable, compasivo hombre joven con una "buena cabeza" sobre mis hombros. La pretensión tuvo lugar durante los meses que pasé sentado con él y escuchar. Ahora era el momento de hacer dinero. Me dijo, "¿Por qué no puede retroceder y déjame correr tu apartamento en complejo para usted?" La idea era tan absurda, tan ridícula que mirando atrás ahora me hubiera reído en mi cara. Pero durante semanas, meses e incluso, yo había escuchado a sus problemas. Yo sabía que el hombre y sus aflicciones. Encima de eso, nunca he reído en o lo rechaza. Ahora él había compartido un problema conmigo, y aquí era una solución perfecta, una que tuvo el cuidado de todos sus problemas, así como el mío. Mis ingresos son bajos, y quería estar cerca de su familia. Habíamos construido una relación durante los últimos meses y, por ende, "sabía" de mí y confía en mí. Después de algún debate, llegamos a un acuerdo y se mueve hacia arriba y hacia fuera al oeste y yo era un joven de 17 años que ejecuta un 30 apartamentos como vice-arrendador. Yo podría ir y decirle a usted mucho más
en esta historia, pero el punto ya está hecho. (Me dirán que el trabajo fue excelente hasta que él me pidió para intentar vender su compleja para él, lo que hice en tiempo récord, al mismo tiempo
Yo vender fuera de un trabajo). El punto es que he desarrollado una relación de confianza, una confianza, con alguien y sin tratar y sin intención maliciosa, tuve una oportunidad para la precarga de él durante meses con las ideas que yo era amable y compasivo e inteligente. A continuación, cuando surgió el momento pude presentar una idea absurda, y debido a los meses de precarga, fue aceptado.
No fue hasta más tarde en la vida que me ha tocado de lo que estaba pasando aquí. Hay tantos factores en juego que no me di cuenta en ese momento. Precarga desde un punto de vista de la ingeniería social implica conocer su objetivo antes de empezar. En este caso, yo no sabía que iba a tratar de aterrizar un loco con este tipo de trabajo. Pero pretensión todavía trabajaba. En la mayoría de casos de ingeniería social que sería mucho más rápido, pero creo que los principios aplicables. Siendo tan auténtica como puede es esencial. Porque la pretensión de la persona implica emociones y sentidos, darles ninguna razón para dudar. La pregunta debe coincidir con su pretexto. Para la precarga para trabajar tienes que pedir algo que coincide con la creencia de que incorporados en ellas. Por ejemplo, si mi oferta fue tener que ir a visitar a mi familia del cliente y tomar fotografías en lugar de gestionar su complejo de apartamentos, no hubiera coincidido con el sistema de creencias que tenía de mí, es decir, que yo era inteligente, de mentalidad empresarial, cuidado joven. Por último, la oferta, cuando se hacen, deben ser de beneficio para el destino, o al menos percibido como beneficio. En mi caso, había montones de beneficio para mi cliente. Pero en ingeniería social el beneficio puede ser tan pequeño como "derechos de fanfarronear": dar a la persona una plataforma para presumir un poco. O el beneficio puede ser mucho más y afectan física, monetaria o los beneficios sicológicos.
Practicando la evocación y dominar en lo hará un maestro ingeniero social. Lógicamente, la siguiente sección es cómo convertirse en un exitoso elicitor. Se convierta en un exitoso Elicitor
Analizar únicamente mis propias experiencias puedo identificar algunos elementos clave que llevaron a mi éxito de cinco años hasta ahora: Una falta de miedo de hablar con la gente y estar en situaciones que no son
Considerado como "normal". Yo verdaderamente hacer el cuidado de las personas, incluso si no los conozco. Quiero y disfrutar escuchando a la gente. Yo ofrecer asesoramiento o ayuda sólo cuando tengo una solución real. Me ofrecen un no-judgemental la oreja para que la gente hable acerca de sus problemas. Estos son elementos clave para el éxito de la obtención. Los Estados Unidos
Department of Homeland Security (DHS) tiene un panfleto interno en la evocación que manos a sus agentes que pude obtener y archivar en www.socialengineer.org/wiki/archives/BlogPosts/ocso-elicitation-brochure.pdf . Este folleto contiene algunos excelentes consejos. Básicamente, como se indica en el mismo y en este capítulo, la obtención se usa porque funciona, es muy difícil de detectar, y no amenazante. El DHS panfleto enfoques de la obtención de un "cómo evitar" punto de vista, pero las siguientes secciones describen algunos de los escenarios y mostrar lo que se puede aprender.
Apelando a alguien su ego El escenario pintado en el folleto de DHS va como esto: Atacante: "Usted debe tener un trabajo importante; tal y tal parece muy buena opinión de usted". Meta: "Gracias, que es agradable de usted a decir, pero mi trabajo no es tan importante. Todo lo que hago aquí es…" El método de apelar a alguien su ego es simplista pero eficaz. Una advertencia, sin embargo: acariciar el ego de alguien es una herramienta poderosa pero si exagere o hacerlo sin sinceridad simplemente gira a la gente. Usted no quiere venir como una loca stalker: "Wow, eres la persona más importante en el universo y que son tan increíble, de aspecto demasiado". Decir que algo parecido podría obtener seguridad pide a usted.
Mediante llamamientos del ego necesita hacerse sutilmente, y si habla con un verdadero narcisista evitar los ojos, suspira, rollos o argumentativeness cuando ella se jacta de sus logros. Ego sutil apelaciones son cosas como, "que la investigación no ha cambiado realmente un montón de puntos de vista acerca del pueblo…" o "escuché al Sr. Smith diciéndole a ese grupo que usted es uno de los más profundo de los datos
Los analistas que tiene." No se hace el planteamiento hasta por encima de la parte superior que es obvio. La adulación sutil puede conseguir que una persona en una conversación que nunca han tenido lugar, como se indica en el folleto de DHS, y eso es exactamente lo que usted desea
Como un ingeniero social. Expresando un interés mutuo Considere este simulacro de escenario: Atacante: "Wow, que tenga experiencia en bases de datos de cumplimiento de la norma ISO 9001? Usted debe ver el modelo que hemos construido para un motor de generación de informes para ayudar con esa certificación. Puedo obtener una copia".
Objetivo: "Me encantaría ver eso. Hemos estado jugando con la idea de añadir un motor de generación de informes a nuestro sistema". Expresando el interés mutuo es un aspecto importante de la obtención. Este escenario particular es aún más poderoso que apelar a alguien su ego porque amplía la relación más allá de la conversación inicial. La meta acordada para seguir en contacto, para aceptar el software del atacante, y expresaron su interés en examinar los planes para el software de la compañía en el futuro. Todo esto puede llevar a una enorme brecha en la seguridad.
El peligro de esta situación es que ahora el atacante tiene el control total. Él controla los próximos pasos, ¿qué información se envía, cuánto y cuando se suelta. Este es un muy potente para mover el ingeniero social. Por supuesto, si el acoplamiento eran a largo plazo y, a continuación, tener un literal pedazo de software que puede ser compartido podría ser incluso más ventajosa. Compartir no utilizable y software malintencionado podría generar confianza, construir una relación, y de que el destino tiene un sentido de obligación.
Hacer una declaración falsa intencional Entregar una declaración falsa parece que sería contraproducente
en la parte superior, pero puede ser una fuerza poderosa a tener en cuenta.
Atacante: "Todo el mundo sabe que la empresa XYZ produjo la mayor venta de software para este widget en la tierra". Meta: "En realidad, eso no es cierto. Nuestra empresa empezó a vender similar
Producto en 1998 y nuestros registros de ventas han golpeado rutinariamente por más del 23%". Estas declaraciones, si se utiliza de manera efectiva, puede provocar una respuesta del objetivo con los hechos reales. La mayoría de las personas debe corregir las afirmaciones erróneas cuando los oyen. Es casi como si son desafiados a comprobar que son correctos. El deseo de informar a los demás, parecen bien informada y ser intolerante de equivocaciones parece estar construida en la naturaleza humana. Entender este rasgo puede hacer este escenario poderoso. Puede utilizar este método para extraer todos los detalles de la meta sobre hechos reales y también a discernir que en un grupo puede tener más conocimientos acerca de un tema.
Información de voluntariado El DHS folleto hace un buen punto sobre un rasgo de personalidad, muchos de nosotros tenemos. Unas pocas menciones de que han aparecido en el libro ya y es cubierto con mayor detalle más adelante, pero la obligación es una fuerza poderosa. Como un ingeniero social, ofreciendo información en una conversación casi obliga al destino para responder con información igualmente útil.
Quieres probar este uno? La próxima vez que estés con tus amigos decir algo como, "te enteraste de Rut? He oído que ella acabo de despedidos de su trabajo y está teniendo serios problemas para encontrar más trabajo". La mayoría de las veces obtendrá, "Wow, yo no oí nada de eso. Que es una noticia terrible. He oído que Joe es divorciarse y van a perder la casa, demasiado." triste aspecto de la humanidad es que tendemos a vivir el dicho "la miseria ama la compañía"-cuán cierto es en este caso. La gente tiende a querer compartir noticias similares. Los ingenieros sociales pueden aprovechar esta tendencia para establecer el tono o el estado de ánimo de un
La conversación y construir un sentido de obligación. Suponiendo conocimientos Otra poderosa herramienta de manipulación que es asumido de conocimiento . Es común pensar que si alguien tiene conocimiento de una situación particular,
es aceptable para discutir con ellos. Un atacante puede explotar este rasgo deliberadamente por presentar información como si él está en el saber y luego mediante la obtención para construir una conversación alrededor de ella. Entonces él puede regurgitar la
Información como si se tratara de su propia y continuar construyendo la ilusión de que él tiene conocimiento íntimo de este tema. Este escenario podría ilustrarse mejor con un ejemplo. Una vez que me iba a China para negociar un amplio acuerdo sobre algunos materiales. Yo necesitaba tener algún conocimiento sobre mi empresa objetivo en las negociaciones y que había que encontrar un camino que antes me reuní con ellos. Nunca habíamos encontrado cara a cara, pero yo iba a una conferencia en China antes de mi comenzaron las negociaciones. Mientras que en la conferencia se me ocurrió escuchar una conversación inicio acerca de cómo ponerse en una posición superior cuando se trata de los chinos en las negociaciones. Yo sabía que esta era mi oportunidad, y que hacen que la situación sea aún más dulce una de las personas en el pequeño grupo fue de la empresa iba a ser reunión con. Rápidamente me inyectó en las conversaciones, y yo sabía que si yo no digo algo rápido quiero perder la cara. Mi conocimiento es limitado pero que no necesita saber eso. Una pequeña pausa surgió cuando comencé a hablar acerca de la teoría de Guanxi. Guanxi es básicamente cómo dos personas que no pueden tener el mismo estatus social puede ser conectado, y entonces uno está presionado para realizar un favor a los demás. Hablé acerca de cómo se puede utilizar esta conexión y, a continuación, llegó a la conclusión de que lo vincula con cuán importante es como un americano que no simplemente tomar una tarjeta y se pegan en mi bolsillo pero para revisarlo, comentar sobre ella y, a continuación, colóquela en algún lugar respetuoso. Esta conversación fue suficiente para establecer mí como alguien que tenía algunos conocimientos y merecía quedarse en el círculo de confianza. Ahora que me había establecido mi base de conocimientos me senté atrás y escuchado a cada persona a expresar su experiencia y conocimientos personales sobre cómo negociar adecuadamente con grandes empresas chinas. He pagado muy estrecha y especial atención cuando los colegas que trabajaron para mi empresa objetivo habla. Como hablaba yo podría decirle a los "consejos" fue dando estaban estrechamente vinculados a las filosofías empresariales de su empresa. Este conocimiento es más valioso que cualquier cosa que podrían haber
pagado y llevó a un viaje muy exitoso. Hay un par de situaciones más que creo son utilizados a menudo en elicitations. Uso de los Efectos del Alcohol
Nada se afloja los labios más que el jugo. Este es un triste pero cierto hecho. Mezclar cualquiera de los anteriores cinco escenarios con alcohol y puede ampliar sus efectos por 10. Probablemente la mejor manera de describir este escenario es con una historia verdadera. En 1980 Un científico senior del Laboratorio Nacional de Los Alamos, viajó a un instituto de investigación de la República Popular de China (RPC) para hablar de su especialidad, la fusión nuclear. Tenía un amplio conocimiento de las armas nucleares de Estados Unidos información pero sabían que la situación estaba entrando era peligroso y necesitaba estar decididos a pegar a su tema.
Sin embargo, él fue bombardeada constantemente con cada vez más detalladas investigaciones directamente relacionadas con las armas nucleares. Los agresores iban a cambiar de táctica y les ruego benigno muchos interrogantes acerca de la fusión y la astrofísica, su especialidad. Una vez que incluso arrojaron un cóctel en su honor. Se reunieron alrededor y aplaudió su conocimiento e investigación cada vez con un brindis y una bebida. Comenzaron a preguntar sobre asuntos confidenciales como las condiciones de ignición de deuterio y tritio, los dos componentes en la entonces nueva bomba de neutrones. Hizo bien en mantener a raya a las constantes preguntas, pero después de muchos brindis y una fiesta en su honor, decidió darle una analogía. Él sugirió al Grupo que si esos dos componentes laminados en una bola y luego enrollarse ellos fuera de la mesa lo más probable es que se inflama porque tenían tales niveles de umbral de temperatura baja.
Esta historia aparentemente inútil e información probablemente causado los investigadores en China para discernir una ruta clara de investigación sobre armas nucleares. Me gustaría aprovechar esta información a otro científico y ahora armados con un poco más de conocimiento, utilizar ese conocimiento para pasar a la siguiente etapa con él o ella. Después de muchos intentos, es muy probable que sea el científico chino tendría una imagen clara de qué camino tomar.
Esto es un grave ejemplo de cómo el uso de la obtención puede llevar a obtener una imagen clara de toda la respuesta. En la ingeniería social puede ser el mismo para usted. Todas las respuestas no pueden proceder de una fuente. Usted puede obtener información de una persona acerca de su paradero en una fecha determinada y, a continuación, usar esa información para obtener más información desde el siguiente
Etapa, y así sucesivamente. Colocar los nuggets de información junto a menudo es la parte más difícil de perfeccionar la obtención de conocimientos. Que se describe a continuación.
Utilizando preguntas inteligentes Como un ingeniero social debe darse cuenta de que el objetivo con la obtención no es subir a pie y decir, "¿Cuál es la contraseña para sus servidores?". El objetivo es conseguir que las pequeñas y aparentemente inútil bits de información que ayude a construir una imagen clara de la respuesta que está buscando o la ruta para obtener esas respuestas. De cualquier manera, este tipo de recopilación de información puede ayudar a dar el ingeniero social un camino muy claro para ese objetivo.
¿Cómo puede saber qué tipo de preguntas a utilizar? En las secciones siguientes se analizan los tipos de preguntas que existen y cómo un ingeniero social puede hacer uso de ellos. Preguntas abiertas Las preguntas abiertas no pueden ser contestadas con sí o no. Preguntando, "bastante frío fuera hoy, ¿eh?" dará lugar a un "sí", "uhuh", "Sí", o alguna otra similar pronunciación gutural afirmativa, mientras que preguntar, "¿Qué piensa usted de el tiempo hoy?" provocará una respuesta real: La persona debe responder con más de un sí o un no.
Una de las formas en las que un ingeniero social puede aprender cómo utilizar preguntas abiertas es analizar y estudiar las buenas reporteros. Un buen periodista debe utilizar preguntas abiertas para continuar generando respuestas de su entrevistado. Supongamos que yo tenía planes para atender a un amigo y él canceló, y quería saber por qué. Puedo formular una pregunta como, "yo tenía curiosidad acerca de lo que le
sucedió a nuestros planes la otra noche". "No me sentía muy bien". "Oh, espero que ahora son mejores. Lo que estaba mal?". Esta línea de preguntas generalmente obtiene más resultados que haciendo un ataque sobre la persona y decir algo como, "Qué diablos, hombre? Que te deshagas de mí la otra noche!".
Otro aspecto de la pregunta abierta que añade el poder es el uso de por qué y cómo . A raíz de una pregunta de cómo o por qué puede llevar a una mayor explicación en profundidad de lo que estaba preguntando.
Esta cuestión no es "sí" o "no", responde, y la persona va a revelar otros detalles usted puede encontrar interesantes. A veces las preguntas abiertas pueden cumplir con cierta resistencia, por lo que el uso del enfoque de la pirámide puede ser bueno. La pirámide enfoque es donde comienzas con estrechas preguntas y, a continuación, preguntar preguntas más amplias al final de la línea de cuestionamiento. Si usted realmente quiere obtener grandes en esta técnica aprender a usarlo con adolescentes. Por ejemplo, muchas veces las preguntas abiertas, tales como: "Cómo le fue en la escuela hoy?" se reunió con un "OK" y nada más, así que pide una pregunta limitada podría abrir el flujo de la información, mejor. "¿Qué están haciendo ustedes en matemáticas este año?" Esta pregunta es muy estrecho y sólo se puede responder con una respuesta muy concreta: "Álgebra II".
"Ah, yo siempre he odiado. ¿Qué le parece?" Desde allí puede siempre se ramifican hacia cuestiones más amplias, y después de que usted consiga el objetivo de hablar, obteniendo más información generalmente se hace más fácil.
Preguntas cerradas Obviamente, las preguntas cerradas son lo contrario de las preguntas abiertas, pero son una forma muy eficaz para conducir a un destino donde desea. Las preguntas cerradas a menudo no pueden ser respondidas con más de uno o dos posibilidades. En una pregunta abierta se podría preguntar, "¿Cuál es tu relación con tu jefe?" pero una pregunta cerrada podría redactarse, "es su buena relación con su jefe?".
Información detallada no es usualmente el objetivo con
preguntas cerradas; más bien, el objetivo principal es la meta. La aplicación de la ley y los abogados utilizan este tipo de razonamiento a menudo. Si quieren llevar su objetivo hacia abajo un camino particular piden muy preguntas cerradas que no permiten la libertad de respuestas. Algo como esto:
"Sabes, el acusado, el Sr. Smith?".
"Sí puedo hacerlo". "En la noche del 14 de junio, le hizo ver que el Sr. Smith en el ABC Taberna?" "Yo lo hice". "y a qué hora fue eso?" "11:45". Todas estas preguntas son muy cerrados y terminó sólo permiten uno o dos tipos de respuestas. Preguntas principales Combinando aspectos de apertura y de preguntas cerradas, preguntas principales están abiertas con una pista que conduce a la respuesta. Algo como, "Usted estaba en la Taberna de ABC con el Sr. Smith en el 14 de junio de 1009 alrededor de las 11:45pm, ¿no?" Este tipo de cuestión lleva el destino donde desea sino también le ofrece la oportunidad de expresar sus opiniones, pero en un sentido muy estricto. También preajustes el destino con la idea de que usted tiene conocimiento de los eventos que se pregunta. Principales preguntas a menudo pueden ser contestadas con un sí o un no, pero son diferentes de preguntas cerradas porque Más información está plantado en la pregunta de que si contesta el ingeniero social da más información con la que trabajar. Preguntas principales estado algunos hechos y, a continuación, preguntar a la meta de estar de acuerdo o en desacuerdo con ellos. En 1932, el psicólogo británico Frederic C. Bartlett concluyó un estudio sobre la memoria reconstructiva. Temas dijo una historia y luego les invita a recordar los hechos inmediatamente, dos semanas más tarde y, a continuación, cuatro semanas más tarde. Bartlett encontró que los sujetos modificó la historia basada en su cultura y sus creencias, así como la personalidad. Ninguno fue capaz de recordar la historia con exactitud y en su totalidad. Se determinó que las memorias no son registros exactos de nuestro pasado. Parece que los seres humanos intentan hacer que la memoria encajan en nuestras representaciones existentes del mundo. Cuando se formulan preguntas, muchas veces respondemos de la memoria basada en
nuestras percepciones y lo que es importante para nosotros. A causa de esto, pidiendo que la gente preguntas capciosas y manipular su memoria es posible. Elizabeth Loftus, una figura líder en el campo de
El testimonio de testigos presenciales, la investigación ha demostrado a través del uso de Preguntas principales ¿Cómo distorsionar una persona de la memoria de un evento es fácilmente posible. Por ejemplo, si una persona mostró una foto de la habitación de un niño que no contenían ningún osito de peluche, y entonces le preguntó, "¿usted ve un oso de peluche?" Usted no está implicando que uno estaba en la habitación, y la persona es libre de responder sí o no, según deseen. Sin embargo, preguntando, "¿Ves el osito de peluche?" implica que uno estaba en la habitación y la persona es más propensa a contestar "sí", porque la presencia de un oso de peluche es coherente con el esquema de la persona de la habitación de un niño. A causa de esta investigación la utilización de preguntas principales pueden ser una herramienta poderosa en manos de un ingeniero social calificado. Aprender a conducir el destino puede también mejorar la capacidad de un ingeniero social para recopilar información.
Assumptive Preguntas Assumptive preguntas son justo lo que suenan como-donde se supone que ciertos conocimientos ya está en posesión de la corona. La manera en que un ingeniero social puede determinar si o no un objetivo posee la información que después es preguntarle a una pregunta assumptive.
Por ejemplo, una habilidad empleada por el cumplimiento de la ley es asumir el destino ya tiene conocimiento, por ejemplo, de una persona y preguntar algo como, "donde hace el Sr. Smith vivir?" dependiendo de la respuesta, el oficial de la policía puede determinar si el destino conoce a la persona y cuánto sabe acerca de él. Un buen punto a tener en cuenta es que cuando un ingeniero social utiliza preguntas assumptive toda la imagen nunca debe ser dada a la meta. Al hacerlo, da todo el poder al destino y elimina gran parte de la capacidad del ingeniero social para el control del medio ambiente. El ingeniero social nunca quiere utilizar assumptive preguntas a acusar al destino de un mal. Ello aleja el objetivo y, de nuevo, los costes de energía
el ingeniero social. Un ingeniero social debe utilizar preguntas assumptive cuando él tiene una idea de la situación real que puede usar en la pregunta. Utilizando una pregunta assumptive con información falsa pueden girar el destino apagado y sólo confirmará que el destino no sabe acerca de algo que no sucedio. Volver a un
El ejemplo anterior, si quería obtener información de un destacado químico y yo hice algunas investigaciones y sabía lo suficiente para formular una frase inteligente, yo podría hacer una pregunta pero assumptive arruinaría seguimiento futuro si yo no era capaz de respaldar la hipótesis del destino haría de mi conocimiento.
Por ejemplo, si yo tuviera que pedir, "Porque el deuterio y el tritio tiene tales umbrales de temperatura baja, ¿cómo manejar estos materiales para evitar contacto?" La información de seguimiento puede ser difícil de seguir si no soy un físico nuclear. Esto es contraproducente y no demasiado útil. Planifique su assumptive preguntas que tengan el máximo efecto.
Un complemento que se imparte a los funcionarios encargados de hacer cumplir la ley que es muy práctico cuando se utiliza assumptive preguntas es decir, "Ahora piense cuidadosamente antes de responder la siguiente pregunta…" Este tipo de una declaración de los preajustes del destino cuenta con la idea de que él debe ser honesto con su próxima declaración. Puede tomar meses o años para dominar estas habilidades. No consiga desalentado si los primeros intentos no tienen éxito, y seguir intentando. No tengas miedo, no obstante, existen algunos consejos para dominar esta habilidad. Examinaré estas en el cierre. Obtención de Mastering Este capítulo tiene una gran cantidad de información para que usted pueda absorber, y si no eres una persona sociable, empleando las técnicas tratadas puede parecer una tarea desalentadora. Como la mayoría de los aspectos de la ingeniería social, evocación tiene un conjunto de principios que, cuando se aplica, mejorará su nivel de habilidad. Para ayudarte a dominar estos principios, recuerde estos punteros: Demasiadas preguntas puede apagar el objetivo. Peppering el destino con un aluvión de preguntas no hará nada, pero
desactivar el destino. Recuerde, la conversación es un toma y daca. Quieres preguntar, pero usted tiene que dar para que el destino se sienta a gusto. Muy pocas preguntas hará que el destino se sienta incómodo. Ha sido usted alguna vez en una conversación que está lleno de "silencios incómodos"? No es bueno? No asuma que su destino es un hábil y dispuesto
Conversadora. Usted debe trabajar en hacer una conversación sea una experiencia agradable. Hacer solo una pregunta a la vez. El capítulo 5 abarca desbordamientos de buffer en la mente humana, pero en este momento, su objetivo no es el objetivo de desbordamiento. Es simplemente recopilar información y crear un perfil. Para hacer esto usted no parecen demasiado ansiosos o no interesados.
Como usted probablemente ha reunido, haciendo trabajo Obtención de derecha es un delicado equilibrio. Demasiado, demasiado poco, demasiado a la vez, no es suficiente, cualquiera de ellos matan a sus posibilidades de éxito. Sin embargo, estos principios pueden ayudarle a dominar esta increíble talento. Si utiliza este método de ingeniería social o simplemente aprendiendo a interactuar con las personas, intente esto: Piense en la conversación como un embudo, donde en la parte superior es el más grande y más "neutro" y en la parte inferior es muy estrecho, terminando directa. Comenzar preguntando a la meta muy neutra preguntas y recoger algunos intel utilizando estas preguntas. Dar y tomar en su conversación y, a continuación, Mover a unas pocas preguntas abiertas. Si es necesario, use unas preguntas cerradas para dirigir el destino a donde quieres ir y luego si la situación se ajusta, Mover a altamente dirigieron sus preguntas a medida que se acerca al final del embudo. Lo que saldrá de la "tobera" de ese embudo es un río de la información.
Pensar en la situación que se examinan en este capítulo de mi objetivo en la cámara de comercio encuentro. Mi objetivo fue reunir a Intel en todo lo que pueda conducir a una violación de la seguridad. Empecé la conversación con una pregunta muy neutral. "escapar los buitres?" Esta pregunta rompió el hielo en la conversación así como utiliza un poco de humor para crear un puente que nos dejó de existir en el mismo plano de pensamiento. Pregunté a algunas preguntas más neutral y le entregué mi tarjeta cuando preguntaba lo que él hace. Este segues suavemente a las preguntas abiertas. Una breve sesión de recopilación de información que ocurrieron con
anterioridad usando cuidadosamente colocados o cerradas assumptive preguntas fue clave. Después de escuchar acerca de la reciente compra de la compañía para el nuevo software de contabilidad y actualizaciones de red que quería ir a matar. Habiendo en el ámbito del edificio sabía que utiliza RFID, pero yo no estaba seguro si el destino iría tan lejos como para describir el
Tarjeta y mostrar a mí. Aquí es donde la utilización de preguntas directas desempeñan un papel: salga y preguntando qué es la seguridad de la empresa. Por el momento he utilizado ese tipo de pregunta nuestra relación y factor de confianza fue tan alta que probablemente habría contestado mis preguntas. La comprensión de cómo comunicarse con la gente es una habilidad esencial para un elicitor. El ingeniero social debe ser adaptable y capaz de igualar la conversación a su entorno y situación. Edificio rápidamente incluso la cantidad más pequeña de confianza con la meta es fundamental. Sin esa relación, la conversación muy probablemente fallará. Otros factores clave incluyen asegurándose de que su estilo de comunicación, las preguntas que se utilizan, y la manera en que hablan todos coinciden con el pretexto. Saber plantear preguntas que forzar una respuesta es una de las claves del éxito de la obtención, pero si toda esa habilidad y todas esas preguntas no coinciden con el pretexto de la evocación intento tendrá seguramente fallará.
Resumen Este capítulo cubre algunos de los puntos más potentes en todo este libropoderoso en el sentido de que esta aplicación puede cambiar no sólo sus habilidades de ingeniería social, sino también sus habilidades como comunicador. Saber plantear las preguntas correctas en la derecha tensa y la manera derecha puede abrir muchas oportunidades. Como un ingeniero social, esto es lo que separa el éxito del fracaso. Las primeras impresiones son basados inicialmente en la vista, sino lo que sale de su boca primero puede hacer o romper el acuerdo. Obtención de mastering puede casi garantizar el éxito como un ingeniero social grave y puede añadir peso a cualquier pretexto que decida usar.
A lo largo de este capítulo mencioné el poder de pretexting. Este es otro tema que cada ingeniero social, tanto malintencionadas y
profesional, deben dominar. Pero, ¿cómo puede asegurarse de que lograr este objetivo? Para responder a esto, usted debe aprender acerca de pretexting y entender exactamente lo que es, como se ha comentado en el Capítulo 4.
Capítulo 4
Pretexting: Cómo convertirse en alguien
La honestidad es la clave para una relación. Si puedes fingir que estás en. -Richard Jeni
A veces, nosotros probablemente todos quisiéramos podría ser alguien más. Heck, me encantaría ser un poco estar más flaco y mejor apariencia. Aunque la ciencia médica no ha venido para arriba con una píldora que puede hacer que sea posible, una solución a este dilema no existe y se llama pretexting . Qué es el pretexting? Algunas personas dicen que es sólo una historia o mentira que actuarán durante un compromiso de ingeniería social, pero esta definición es muy limitante. Pretexting es mejor definido como la historia de fondo, vestido, peinado, personalidad y actitud que conforman el carácter que será para la auditoría de ingeniería social. Pretexting abarca todo lo que usted se imagina que la persona. El pretexto más sólido, más creíble será como un ingeniero social. A menudo, la sencillez de su pretexto, mejor para usted. Pretexting, especialmente desde el advenimiento de la Internet, se ha visto un incremento de usos maliciosos. Una vez vi una camiseta que decía "Internet: donde los hombres son hombres, las mujeres son hombres, y los niños son agentes del FBI a la espera de que te pillen." Como ligeramente humorístico como dicho es, que tiene mucho de verdad en ella. En el Internet usted puede ser quien quiera ser. Los hackers han estado utilizando esta capacidad a su ventaja durante años y no sólo a través de la Internet.
En la ingeniería social juega un papel o ser una persona diferente para lograr con éxito el objetivo es a menudo indispensable. Chris Hadnagy
podría no tener tanta pull como el tech support guy o el CEO de una importante empresa importadora. Cuando surge una situación de ingeniería social, con las aptitudes necesarias para convertirse en el pretexto es importante. En un debate yo estaba
Habiendo con el mundialmente famoso ingeniero social, Chris Nickerson, sobre este tema, dijo algo que creo que realmente llega a casa. Nickerson declaró que pretexting no trata de actuar con un papel o reproducción de una parte. Dijo que no se trata de vivir una mentira, pero de hecho convertirse en esa persona. Estás, en cada fibra de su ser, la persona que está describiendo. La forma en que camina, la forma en que habla, lenguaje corporal-convertirse en esa persona. Estoy de acuerdo con esta filosofía el pretexting. A menudo, cuando la gente vea una película los que creemos que son "los mejores que hemos visto jamás" son donde los actores nos tan cautivado con sus piezas no podemos separarlos de sus personajes retratados.
Esto fue probado verdadero para mí cuando hace muchos años mi esposa y yo vimos una gran película con Brad Pitt, leyendas de la caída . Él era un idiota egoísta en esta película, un alma atormentada que hicieron un montón de malas decisiones. Él era tan bueno en la reproducción de esta parte de mi esposa odiaba a él literalmente como actor durante unos cuantos años. Ese es un buen pretexter. El problema de usar pretexting durante muchos ingenieros sociales es que ellos piensan que es simplemente vestirse como parte y eso es todo. Cierto, el traje puede ayudar, pero pretexting es una ciencia. En cierto modo, toda su persona va a retratar a usted en una situación que es diferente a quien eres. Para hacer esto, usted, como un ingeniero social, debe tener una imagen clara de lo que realmente es pretexting. Entonces usted puede planear y realizar la excusa perfecta. Por último, se pueden aplicar los toques finales. Este capítulo tratará los aspectos de pretexting. La primera es una discusión de qué pretexting es realmente. Después de que el debate de cómo utilizar pretexting como un ingeniero social. Por último, ligar todos juntos, en este capítulo se estudian algunas historias que muestran cómo utilizar pretexting eficazmente.
Qué es el Pretexting?
Pretexting es definida como el acto de crear un escenario inventado para persuadir a una víctima dirigidos a divulgar información o realizar alguna acción. Es más que sólo crear una mentira; en algunos casos se puede crear toda una nueva identidad y luego usar esa identidad para manipular la recepción de la información. Los ingenieros sociales pueden utilizar pretexting suplantar a personas en ciertos empleos y
Los roles que ellos mismos han hecho nunca. Pretexting no es una solución única para todos. Un ingeniero social debe desarrollar muchos pretextos diferentes a lo largo de su carrera. Todos ellos tienen una cosa en común: la investigación. Buenas técnicas de recopilación de información pueden hacer o deshacer un buen pretexto. Por ejemplo, imitando la perfecta tech support rep es inútil si su destino no utilizar apoyo exterior. Pretexting también se utiliza en otras áreas de la vida de la ingeniería social. Las ventas; oratoria; llamados adivinos; neurolinguistic programming (NLP) expertos; e incluso médicos, abogados, terapeutas, y como todos tienen que utilizar una forma de pretexting. Todos ellos tienen que crear un escenario donde la gente se siente cómoda con la liberación de información que normalmente no podría. La diferencia en los ingenieros sociales utilizando pretexting y a otros se los objetivos implicados. Un ingeniero social, de nuevo, debe vivir de esa persona por un tiempo, no sólo actúan en una parte. Mientras la auditoría o la ingeniería social gig dura, necesita estar en el personaje. I "get in character" yo, al igual que muchos de mis colegas, algunos de los cuales incluso permanecer en el carácter "fuera del reloj." dondequiera que usted necesita, debe ser el pretexto que comenzaron a ser. Además, muchos profesionales ingenieros sociales tienen diferentes online, medios sociales, correo electrónico y otras cuentas para realizar una copia de seguridad de un montón de pretextos.
Una vez me entrevistaron icono radio Tom Mischke sobre este tema para un podcast de ingeniería social soy parte de (alojado en Www.social-engineer.org/episode-002-pretexting-not-just-for-socialengineers/ ). Presentadores de radio debe ser experto en el pretexting porque constantemente tiene que liberar sólo la información que desee para el público. Tom fue tan competente en lo que muchos oyentes sentía como si "sabía" de él como un amigo. Iba a conseguir invitaciones para bodas, aniversarios, e incluso los nacimientos. Cómo Tom fue capaz de llevar a cabo esta increíble especie de excusa? La respuesta es la práctica. Montones y montones de práctica es la que se prescribe. Me dijo que en realidad su plan de "actos" después
practicarlas-utilice la voz habrían, sentarse cómo iban a sentarse, tal vez incluso se viste como iban vestidos. La práctica es exactamente lo que hace un buen pretexto. Un aspecto muy importante a recordar es que la calidad de la pretexto está directamente vinculada a la calidad de la información recogida. Cuanto más, mejor,
Y cuanto más relevante sea la información, más fácil será para el pretexto para desarrollarse y tener éxito. Por ejemplo, el clásico pretexto de tech support guy sería absolutamente fallar si usted fue a una empresa que ya tenían el apoyo interno o subcontratado a una empresa muy pequeña de una o dos personas. Tan natural como eres en conversar con alguien acerca de quién eres realmente es lo fácil de aplicar su pretexto debe ser.
De modo que usted pueda ver cómo puede utilizar esta habilidad, la siguiente sección cubre los principios de pretexting, a continuación, se muestra cómo se pueden aplicar a una sólida planificación realmente pretexto. Los principios y etapas de planificación de Pretexting Como con cualquier habilidad, ciertos principios dictan los pasos para realizar esa tarea. Pretexting no es diferente. La siguiente es una lista de principios de pretexting que puede utilizar. No son estos los únicos principios allí; quizás pueden agregarse otros, pero estos principios representan la esencia de pretexting:
La investigación más que hacer la mejor posibilidad de éxito. Involucrar a sus propios intereses personales aumentará el éxito.
Práctica dialectos o expresiones. Muchas veces el esfuerzo de ingeniería social puede reducirse si el teléfono se consideran menos importantes. Pero como un ingeniero social, utilizando el teléfono no debe reducir el esfuerzo puesto en el concierto de ingeniería social.
Cuanto más simple sea la excusa mejor la probabilidad de éxito. El pretexto debe ser espontáneo. Proporcionar una conclusión lógica o seguir a través de la meta. Las siguientes secciones describen cada uno de estos
principios en detalle. El hacer más investigación, mejor será la probabilidad de éxito Este principio es evidente, pero no puede decirse lo suficiente el nivel de éxito está directamente conectado con el nivel y la profundidad de la investigación. Como se discutió en el Capítulo 2, es la clave del éxito de la ingeniería social. Más información un ingeniero social tiene más posibilidades de que él o ella tiene
Desarrollo de un pretexto que funciona. Recordar la historia que le dijo en el capítulo 2 sobre mi mentor Mati Aharoni y cómo convenció a un ejecutivo de alto nivel para visitar a su "colección de sellos" el sitio en línea? A primera vista, el camino interior que la compañía podría haber parecido algo que ver con la financiera, la banca, la recaudación de fondos, o algo parecido, porque era un servicio bancario. El Mati hizo más investigación, era más evidente que el pretexto podría ser una persona que estaba vendiendo una colección de sellos. Averiguar cuáles son los intereses del ejecutivo fueron permitidos Mati encontrar un modo sencillo en la compañía, y funcionó.
A veces esos pequeños detalles que son los que hacen la diferencia. Recuerde, la información no es irrelevante. Mientras que la recopilación de información, buscando historias, elementos o aspectos de carácter personal es también una buena idea. Utilizando un destino personales o emocionales le permiten obtener un pie en la puerta. Si el ingeniero social descubre que cada año el CFO dona una suma considerable para un centro de investigación de cáncer infantil, un pretexto que implica la recaudación de fondos para esta causa muy probablemente podría trabajar, como cruel como suena. El problema es que los ingenieros sociales malintencionados utilizan pretextos que se alimentan de emociones sin un segundo pensamiento. Después de los ataques a las Torres Gemelas en Nueva York el 11 de septiembre de 2001, muchos de los hackers y los ingenieros sociales utilizan las pérdidas de estas personas para recaudar fondos por sí mismos a través de los sitios web y correos electrónicos dirigidas a los ordenadores de la gente y falsos recaudaciones de fondos que obtuvo fondos de dar a aquellos con un corazón. Después de los terremotos en Chile y Haití en 2010, lo mismo ocurrió en muchos ingenieros sociales desarrollado sitios Web maliciosos que se posiciona como una forma de dar a conocer información sobre la actividad sísmica o las personas que se han perdido. Estos sitios fueron codificados con el código malicioso y hackeado los ordenadores de la gente.
Esto es aún más evidente directamente después de la muerte de una estrella de la música o película. Search Engine Optimization (SEO) y marketing genios tendrán los buscadores
tirando hacia arriba sus historias en cuestión de horas. Junto con los publicistas, maliciosa, los ingenieros sociales aprovechan la mayor atención del motor de búsqueda mediante el lanzamiento de sitios maliciosos que alimentan que SEO. Atraer a la gente a estos sitios, ellos cosechan información o infectar con virus.
Que la gente se aproveche de la desgracia de otros es un triste hecho acerca de este mundo, y uno de esos oscuros rincones me dijo que iba a visitar en este libro. Como auditor de ingeniería social, puedo usar un empleado de emociones para mostrar una empresa que incluso las personas con aparentemente buenas intenciones pueden engañar a los empleados de una compañía en dar acceso a valiosa y arruinando el negocio de datos.
Todos estos ejemplos solidificar el punto en que lo mejor es un ingeniero social de la recopilación de información y la investigación del proceso de recopilación de la mejor oportunidad que ha de encontrar algún detalle que aumentará las posibilidades de éxito de un pretexto. Involucrar intereses personales para aumentar el éxito Utilizando sus propios intereses personales para aumentar las probabilidades de éxito de la ingeniería social movimiento parece muy simple, pero puede ir un largo camino para convencer a la meta que son creíbles. Nada puede arruinar la compenetración y la confianza más rápido que una persona que afirma tener conocimientos sobre un tema y luego se queda corta. Como un ingeniero social, si usted nunca ha visto una sala de servidores antes y nunca han tenido un equipo aparte, tratando de interpretar el papel de un técnico puede ser una ruta rápida al fracaso. Incluye temas y actividades en el pretexto que le interesa le da mucho de que hablar y le da la habilidad para retratar la inteligencia, así como de confianza.
La confianza puede ir un largo camino para convencer a la meta que usted es quien dice ser. Algunos pretextos requieren más conocimientos que otros (por ejemplo, Recaudador de Sello versus investigador nuclear) para ser convincentes, por lo que una vez más la investigación se convierte en el tema recurrente. A veces, el pretexto es bastante simple que puede obtener el conocimiento mediante la lectura de unos cuantos sitios de Internet o de un libro.
Sin embargo obtiene el conocimiento, investigando los temas que le interesan personalmente, como el ingeniero social, es importante. Después de recoger en una historia, el aspecto, el servicio o el interés que usted tiene mucho conocimiento, o al menos se sienten cómodos discutiendo, ver si ese ángulo puede trabajar. La Dra. Tom G. Stevens, PhD, dice, "Es importante recordar que la auto-confianza es siempre relativa a la tarea y la situación. Tenemos diferentes
Los niveles de confianza en diferentes situaciones." Esta declaración es muy importante, porque la confianza se vincula directamente a la forma en que otras personas ven como un ingeniero social. Confianza (siempre que no sea excesiva confianza) genera confianza y compenetración y hace que la gente se sienta a gusto. Encontrar una ruta hacia el destino que le ofrece la oportunidad de hablar sobre temas que le son cómodos, y que pueda hablar con confianza, es muy importante.
En 1957 psicólogo León Festinger subió con la teoría de la disonancia cognitiva. Esta teoría afirma que las personas tienen una tendencia a buscar la coherencia entre sus creencias, opiniones, y básicamente todos sus cogniciones. Cuando existe una incoherencia entre actitudes y comportamientos, algo debe cambiar para eliminar la disonancia. Dr. Festinger unidos, dos factores que afectan a la intensidad de la disonancia:
El número de creencias disonantes La importancia de cada creencia Luego dijo que existen tres maneras de eliminar la disonancia (que debería provocar cada ingeniero social las orejas para animar): Reducir la importancia de las creencias disonantes. Agregar más consonante creencias que superan la disonante. Cambiar las creencias disonantes de manera que ya no son incompatibles. ¿Cómo un ingeniero social utilice esta información? Acercarse a un pretexto Con la falta de confianza cuando su pretexto dice que usted debe estar seguro crea automáticamente la disonancia. Esta disonancia plantea todo tipo de banderas rojas y pone barreras a una buena comunicación, confianza, y el movimiento hacia delante. Estas barreras afectan al comportamiento del destino, de quien se espera para equilibrar sus sentimientos de disonancia, y mata cualquier probabilidad de su pretexto de trabajar.
Uno de los métodos para contrarrestar esa es agregar más consonante creencias de manera que se compensan las disonantes. ¿Cuál sería el objetivo de esperar su pretexto? Sabiendo que le
permitirá alimentar su mente y emociones con acciones, palabras y actitudes que va a construir el sistema de creencias y superan cualquier creencias que podrían poner en duda. Por supuesto, un ingeniero social calificado también puede cambiar las creencias disonantes de manera que ya no son incompatibles. Aunque esto es más complicado, es una poderosa habilidad para tener. Es posible que su apariencia no encaja lo
El objetivo podría imaginar para su pretexto. Usted podría pensar que el espectáculo Doogie Howser, M.D. . El problema Doogie era que su "pretexto" de ser un médico superior nunca montar desde muy joven. Que era una creencia disonante, pero su conocimiento y acciones trajo a menudo que en la consonante creencias de sus "objetivos". Al igual que el ejemplo anterior, un ingeniero social puede alinear su pretexto con el objetivo las creencias por sus actitudes, acciones y sobre todo sus conocimientos de pretexto. Un ejemplo de esto recientemente he visto en la vida real estaba en Defcon 18. Yo era parte del equipo que trajo la ingeniería social a DEFCON CTF. Vimos muchos concursantes que utiliza el pretexto de un empleado. Cuando se presenta una objeción como, "¿Cuál es su número de identificación de empleado?" Un ingeniero social no calificados se pone nervioso y no tiene una respuesta o colgar, mientras que un ingeniero social calificado traería esas creencias disonantes en la alineación para el destino. Simplemente indicando el número de identificación se encuentra en línea o utilizando otro método que fueron capaces de convencer a la meta que la información no era necesaria, por lo tanto, alinear el destino a sus creencias.
Estos puntos son muy técnicos respuestas a un problema muy simple, pero usted debe comprender que uno sólo puede hacer tanta falsedad. Elige tu camino sabiamente. Práctica dialectos o expresiones Aprender a hablar en un dialecto diferente no se miró más rápidamente. Dependiendo de donde usted vive, aprendiendo a hablar un dialecto diferente o con un acento puede tardar algún tiempo. Poner en un sur drawl o un acento asiático puede ser muy difícil, si no imposible. Una vez estuve en una clase de formación con una organización de ventas internacional y tenía algunas estadísticas que dice el 70% de los estadounidenses prefieren escuchar a la gente con un acento británico. No estoy seguro de si esa estadística es verdad o no, pero puedo decir que me gusta el acento de mí mismo. Ahora, después de esa clase, he escuchado a bastantes personas en la clase práctica de su
"Cheerios" y "Alo Govenors," que eran horribles. Tengo un buen amigo desde el Reino Unido, Jon, quien pone muy enojado cuando oye a los estadounidenses intentan utilizar líneas de Mary Poppins en una imitación de acento británico. Si hubiera escuchado este grupo, él
Podría haber un fusible fundido. Lo que me enseñó de clase es que, a pesar de que las estadísticas pueden decir un acento es mejor que otro para ventas o simplemente porque usted podría ser la ingeniería social en el sur o en Europa no quiere decir que se puede colocar fácilmente en el acento a hacer aparecer local. En caso de duda, tírela. Si no puede hacer el dialecto perfecto, si no puede ser natural, y si no puede ser suave, entonces simplemente no lo intente. Actores utilizan los entrenadores vocales y sesiones de capacitación para aprender a hablar con claridad en el acento que tienen que presentar. Christian Bale es de Gales, pero determinar que el hecho de escuchar a él es muy difícil. Él no suena británicos en la mayoría de sus películas. Actriz Gwyneth Paltrow tuvo una muy convincente acento británico de la película Shakespeare in Love . La mayoría de los actores tienen entrenadores de dialecto que trabajarán con ellos para perfeccionar el acento de destino. Porque la mayoría de los ingenieros sociales no puede permitirse un dialecto entrenador, hay muchas publicaciones que pueden ayudarle a aprender al menos lo básico de poner un acento, como dialectos para la etapa por Evangeline Machlin. Aunque este es un viejo libro, que contiene una gran cantidad de sugerencias:
Encontrar ejemplos nativos del acento que desee aprender a escuchar. Libros como dialectos para la etapa a menudo vienen con cintas lleno de acentos para escuchar. Intente hablar junto con la grabación que tienen, en la práctica suena como esa persona. Después de que usted se sienta bastante confiados, grábese hablando en ese acento así que usted puede escuchar más adelante y corregir errores. Crear un escenario y practicar su nuevo acento con un socio.
Aplicar tu Acento en público para ver si la gente encuentra creíble. Hay innumerables dialectos y acentos, y personalmente me resulta útil escribir fonéticamente algunas de las sentencias hablaré. Esto me permite practicar la lectura de los mismos y obtener las ideas hundido en mi cerebro para hacer mi acento
más natural.
Estos consejos pueden ayudarle a un ingeniero social principal o al menos dominar a utilizar otro dialecto. Incluso si usted no puede dominar otro dialecto, el aprendizaje de las expresiones que se usan en el área en la que usted trabaja puede hacer una diferencia. Una idea
Es dedicar algún tiempo a escuchar a la gente hablar en público el uno al otro. Un gran lugar para esto es una cafetería o un centro comercial, o cualquier lugar que usted puede encontrar grupos de gente sentada y charlando. Escuche atentamente a frases o palabras clave. Si se les oye utilizado en unas conversaciones que quiera buscar una manera de incorporarlos a su pretexto para añadir credibilidad. De nuevo, este ejercicio requiere investigación y práctica. Usando el teléfono no debe reducir el esfuerzo para el Ingeniero social
En los últimos años, Internet ha llegado a dominar ciertos aspectos más "impersonales" de la ingeniería social, mientras que en días pasados el teléfono era parte integrante de la ingeniería social. Debido a este cambio, muchos ingenieros sociales no ponga la energía o esfuerzo en el uso del teléfono que puede hacer que sea realmente un éxito. Este tema está aquí para mostrar que el teléfono sigue siendo una de las herramientas más poderosas de la ingeniería social y el esfuerzo puesto en uso no debe ser reducido debido a la naturaleza impersonal de la Internet. A veces, cuando un ingeniero social planea un ataque al teléfono de su pensamiento pueden diferir debido a que el uso de Internet podría parecer más fácil. Tenga en cuenta que usted debe planear para poner el mismo nivel de esfuerzo, el mismo nivel y profundidad de investigación y recopilación de información, y lo que es más importante, el mismo nivel de práctica en su teléfono basado en ataques de ingeniería social. Una vez estuve con un grupo pequeño que iba a practicar presentaciones de teléfono. Hemos descrito los métodos adecuados, el tono, la velocidad, el tono y los términos de uso. Esbozamos un script (más sobre esto en un minuto) y, a continuación, inició un período de sesiones. La primera persona que hizo la llamada, se puso al teléfono con alguien, y revolvió las primeras líneas. De completar la vergüenza y el miedo que acaba colgado en la persona. Hay una muy buena lección de la persona en el otro extremo del teléfono no tiene idea de lo que vas a decir, así que realmente no puedo "desordenar". sesiones de práctica puede ayudarle a aprender
cómo manejar las "incógnitas" causados por su modificar accidentalmente algo en tu script que te lanza fuera de la base. Si no son tan afortunados de tener un grupo para practicar o perfeccionar estas habilidades, usted tendrá que ser creativo. Intente llamar a familiares o amigos
para
ver
cuán
lejos
Usted puede conseguir manipularlos. Otra forma de practicar es grabarse a sí mismo como si estuviera en el teléfono y luego reproducirlo más tarde para escuchar cómo suena. Personalmente, creo que con un contorno de script es muy importante. Aquí está un ejemplo: supongamos que usted tenía que llamar a su compañía de teléfono u otra utilidad. Quizás ellos se equivocaron una factura o si había otro problema de servicio y se va a quejar. Después de explicar a sí mismo a la persona que me atendió, diciéndole cómo estás molesto y decepcionado, y el ejecutivo no hace absolutamente nada para usted, ella dice algo como, "XY&Z está comprometido con la excelencia del servicio; he respondido a todas sus preguntas hoy?" Si el zumbido detrás del teléfono durante un segundo pensamiento acerca de lo que le estaba pidiendo que se den cuenta de cómo es tonto, ¿verdad? Esto es lo que sucede cuando se utiliza una secuencia de comandos en lugar de escritos de un esquema. Un esquema permite "libertad artística creativa" para moverse en la conversación y no estar tan preocupado por lo que debe venir después.
Usar el teléfono para solidificar su pretexto es uno de los métodos más rápidos dentro de la puerta del destino. El teléfono permite que el ingeniero social a "falso", o falso, casi nada. Tener en cuenta este ejemplo: Si yo quería llamar a usted y pretender yo estaba en una oficina ajetreada para agregar el pretexto que yo estaba tratando de usar, yo podría simplemente agarrar la pista de audio de floreciente www.thrivingoffice.com/ Oficina ( ). Este sitio ofrece una canción llamada "ocupado" y otro llamado "muy ocupado." De los creadores: "Este valioso CD, que se llena con los sonidos de personas esperan oír de una empresa establecida, ofrece una credibilidad instantánea. Es simple, efectivo y garantizado!"
Esa frase por sí sola se llena con la ingeniería social bondad llena con lo que la gente espera escuchar de una empresa establecida. Ya puedes ver que el CD está orientada a llenar las expectativas y proporcionar credibilidad (al menos, en la mente del destino, después de que sus expectativas se cumplan), con lo que automáticamente la confianza. Además, la falsificación de información de caller ID es relativamente simple. Servicios como www.spoofcard.com SpoofCard ( ) o mediante soluciones propias, permite que un ingeniero social para decirle el destino
al que se llama desde una sede corporativa, la Casa Blanca, o el banco local. Con estos servicios se puede falsificar el número que puede venir desde cualquier parte del mundo. El teléfono es una herramienta mortífera para los ingenieros sociales; el desarrollo de los hábitos a
Practique y tratarla con total respeto realzará cualquier ingeniero social el conjunto de herramientas para el pretexting. Porque el teléfono es una herramienta mortal y no ha perdido su eficacia, debe darle el tiempo y el esfuerzo que merece en cualquier concierto de ingeniería social. El más sencillo sea el pretexto, mejor la probabilidad de éxito
"El más simple, mejor" principio simplemente no puede ser exagerada. Si el pretexto tiene tantos detalles intrincados que olvidar uno provocará un fallo de ingeniería social, es, probablemente, va a fallar. Mantener las líneas de la historia, hechos y detalles sencillos pueden ayudar a incrementar la credibilidad.
La Dra. Paul Ekman, un psicólogo e investigador de renombre en el campo de la decepción, cowrote un artículo en 1993 titulado "Las mentiras que fracasan." En ese artículo dice [t]aquí no siempre es tiempo de preparar la línea a seguir para ensayar y memorizarla. Aun cuando ha habido suficiente aviso previo, y una falsa línea ha sido cuidadosamente elaborado, el mentiroso puede no ser lo suficientemente inteligente como para anticipar todas las preguntas que se pueden hacer, y de haber pensado a través de lo que sus respuestas deben ser. Incluso el ingenio puede no ser suficiente, por cambios en las circunstancias, la sombra puede traicionar otra línea eficaz. Y, aun cuando un mentiroso no está obligada por las circunstancias a cambiar líneas, algunos mentirosos tienen dificultad para recordar la línea previamente han comprometido, por lo que nuevas preguntas no puede ser consistentemente respondieron rápidamente. Este muy importante punto explica claramente por qué sencillo es lo mejor. Tratando de recordar un pretexto puede ser casi imposible si es tan compleja que su cubierta puede ser impulsado por un simple error. El pretexto debe ser natural y suave. No debe ser fácil de recordar, y si se siente natural, recordando los hechos o las líneas utilizadas anteriormente
en el pretexto de no ser una tarea. Para ilustrar lo importante que es acordarse de los pequeños detalles, quiero compartir una historia con ustedes. Érase una vez que probé mi mano en ventas. Yo estaba colocado con un gerente de ventas para aprender el oficio. Puedo recordar mi primera conversación con él. Nos dirigimos hacia la casa, y antes de que nos dejaron el coche él miró el Info tarjeta y me dijo, "Recuerde, Becky Smith envió una solicitud de tarjeta
Seguro complementario. Vamos a presentar la política de XYZ. Ver y aprender." En los tres primeros minutos de la llamada de ventas llamó Beth y Betty. Cada vez que él utilizó el nombre equivocado vi su conducta cambia y entonces le diría tranquilamente, "Becky." Tengo la sensación de que podríamos haber sido regalar lingotes de oro y le habría dicho que no. Ella estaba tan apagado que no pudo conseguir su nombre correcto que ella no estaba interesada en escuchar nada.
Este escenario realmente duros home el punto de mantener el simple hechos rectos. Además de recordar los hechos, igualmente importante es mantener los detalles pequeños. Un simple pretexto permite la historia para crecer y el destino para utilizar su imaginación para llenar las lagunas. No intente hacer el pretexto de elaborar y, sobre todo, recuerde los pequeños detalles que harán la diferencia en la forma en que la gente ve el pretexto. Por otra parte, aquí está una interesante exquisitez: una conocida táctica utilizada por famosos criminales y estafadores es deliberadamente al hacer algunos errores. La idea es que "nadie es perfecto", y algunos errores que hacen que la gente se sienta como en casa. Tenga cuidado con qué tipos de errores que usted decida hacer si emplean esta táctica porque no añadir complejidad a su pretexto, sino que hace que la conversación parece más natural. Utilice esta sugerencia con moderación, sin embargo usted decide proceder, keep it simple.
Permítanme atar todo esto junto con unos pocos ejemplos que he utilizado o visto utilizadas en las auditorías. Después de algunos excelentes de la obtención en el teléfono, un ingeniero social anónimo ha sido bautizado con el nombre de la empresa de eliminación de residuos. Unos simples búsquedas en Internet y tenía un logo imprimible y utilizable. Hay docenas de locales y tiendas en línea que se va a imprimir camisetas o sombreros con un logotipo. A pocos minutos de alinear las cosas en una plantilla y ordenó una camisa y tapa de bola con el logotipo de la empresa de residuos. Un par de días más tarde, vistiendo el logo-laden ropa y llevando un portapapeles, el
ingeniero social se acercó a la caseta de seguridad de la empresa objetivo. Él dijo, "Hola, Me llamo Joe con ABC residuos. Recibimos una llamada de su departamento de compras pidiendo enviar a alguien más para desproteger un contenedor dañado en la espalda. El recogedor es mañana y si el contenedor no es reparable, tendré que llevar a cabo una nueva. Pero necesito ejecutar ahí atrás
E inspección". Sin pestañear, el oficial de seguridad dijo, "OK, necesitará este monograma para obtener in situ. Sólo hay que tirar por aquí y conducir alrededor de la espalda y verá los dumpsters allí". El ingeniero social tenía un pase libre para realizar una extensa y detallada en el contenedor de bucear pero quisieron maximizar su potencial, así que fuimos a matar con esta línea. Mientras busca a su portapapeles dijo, "La nota dice que no es la comida dumpsters sino uno de aquellos donde el papel o tech basura va. Son aquellas en las cuales bloques?".
"Oh, sólo la unidad de la misma manera le dije a usted que se encuentran en la tercera bahía", respondió el guardia de seguridad. "Gracias", dijo Joe. Un simple pretexto, respaldada por la ropa y las "herramientas" (como el portapapeles), y los argumentos eran fáciles de recordar y no complejo. La sencillez y la falta de detalle realmente hecho este pretexto más creíbles, y funcionó.
Otro pretexto muy utilizado es el del tech support guy. Esto sólo requiere una camisa de polo, un par de khakis, y una pequeña bolsa de herramienta informática. Muchos ingenieros sociales emplean esta táctica para llegar a la puerta principal, porque el "tech guy" usualmente se da acceso a todo, sin supervisión. Se aplican las mismas reglas: mantener la trama simple ayudará a hacer que este pretexto muy real y creíble.
El pretexto debe ser espontáneo Haciendo el pretexto de ser espontáneo se remonta a mi punto de vista sobre el uso de un esquema versus el uso de secuencias de comandos. Esboza siempre permitirán que el ingeniero social más libertad y un script hará el ingeniero social suenan demasiado robóticas. Esto también está relacionado con el uso de artículos o historias que interesen personalmente el ingeniero social. Si cada vez que alguien le haga una
pregunta o hace una declaración que requiere que usted piense y vaya, "Ummmm" y empezar a pensar profundamente, y no puede volver con una respuesta inteligente, que arruinará su credibilidad. Por supuesto mucha gente piensa antes de hablar, así que esto no es acerca de tener la respuesta en un segundo, pero acerca de tener una respuesta o una razón para no tener la respuesta. Por ejemplo, en una llamada telefónica me
Pide un pedazo de información que no tengo. Simplemente me dijo, "Déjame que." Entonces me se inclinó y lo hizo sonar como yo estaba gritando por un compañero de trabajo: "Jill, puede usted pedirle a Bill para darme el formulario de pedido de la cuenta xyz? Gracias". Entonces como "Jill" fue conseguir el papel para el que yo era capaz de obtener los datos que necesitaba y el papel nunca fue traído de nuevo.
He recopilado una pequeña lista de maneras que usted puede trabajar en ser más espontánea: No piense en cómo se siente. Este punto es bueno, porque a menudo en un pretexto si overthink usted empezará a añadir emoción a la mezcla, que puede causar miedo o ansiedad, nerviosismo, todo lo cual conduce al fracaso. Por otro lado, usted puede no sentir nerviosismo o miedo, pero el exceso de emoción, que también pueden causar que usted haga un montón de errores. No se tome demasiado en serio. Esto es, por supuesto, excelentes consejos en la vida, pero se aplica maravillosamente a la ingeniería social. Como un profesional de la seguridad, usted tiene un trabajo serio; este es un asunto serio. Pero si no eres capaz de reírse de sus errores, puede que clam o ponerte demasiado nervioso para manejar un pequeño bache en el camino. No estoy sugiriendo que usted tome la seguridad como una broma. En su mente, sin embargo, si usted ve un potencial fracaso como el pináculo del fracaso en su vida, la presión cree puede causar justo lo que teme la mayoría. Averías menores a menudo puede conducir a un mayor éxito si tiene la capacidad de rodar con ella. Aprenda a identificar lo que es relevante. Me gusta la frase este concepto como "salir de tu cabeza y en el mundo", que es más grandes consejos. Un ingeniero social puede estar intentando planear tres pasos adelante y, en el ínterin, perder un detalle vital que puede causar que el pretexto que se caen a pedazos. Ser rápido para identificar el material pertinente y la información que le rodea, ya sea el lenguaje corporal del destino, las palabras
habladas o microexpressions (consulte el Capítulo 5 para obtener más información sobre este tema), y asimilar la información en el vector de ataque. También tenga en mente que la gente puede decir cuando alguien no está escuchando realmente lo que están diciendo. La sensación de que incluso frases intrascendentes caen en oídos sordos puede ser un desvío masivo para muchos
La gente. Todo el mundo ha experimentado estar con alguien que apenas parece que no importa lo que él o ella está diciendo. Puede ser que esa persona ni siquiera tenía una razón legítima para estar pensando en una ruta diferente, pero hacerlo es todavía un desvío. Asegúrese de escuchar lo que su destino está diciendo. Preste atención y recogerá los detalles que son muy importantes para ellos y, en el ínterin, puede oír algo para ayudarle en su éxito. Buscan ganar experiencia. Este concepto se remonta a lo que probablemente verá repetido cuatro millones de veces en este libropráctica. Ganando experiencia a través de la práctica puede hacer o romper el pretexto. La práctica de la espontaneidad con la familia y amigos y extraños con absolutamente ningún objetivo en mente pero es espontáneo. Entablar conversaciones con personas, pero no en un terrorífico stalker tipo de manera simple y pequeño las conversaciones pueden recorrer un largo camino para hacer que usted se sienta cómodo siendo espontáneo.
Estos puntos pueden dar definitivamente un ingeniero social la parte superior cuando se trata de pretexting. Tener la capacidad de ser espontáneo es un regalo. Anteriormente en este capítulo mencioné mi entrevista con Tom Mischke, quien tuvo una interesante perspectiva de la espontaneidad. Dijo que quiere dar la ilusión de espontaneidad, envueltos en la práctica y la preparación. Se practicarán tanto que su pretexto saldría como una generación espontánea de humor y talento. Proporcionar una conclusión lógica o seguir a través del destino Créase o no, las personas quieren que se les diga qué hacer. Imagine si usted fue a un doctor y caminó, compruebo que, escribió algunas cosas sobre su gráfico, y dijo, "Bueno, nos vemos en un mes." Eso sería inaceptable. Incluso en el caso de malas noticias, la gente quiere ser contada el próximo paso y qué hacer. Como un ingeniero social, cuando deje la meta, quizás necesite él tomar
o no tomar una acción, o puede haber conseguido lo que usted vino y sólo necesita salir. Cualquiera que sea la circunstancia, dando la meta una conclusión o seguimiento mediante rellena los huecos esperado para el destino.
Como si un médico controló más y le envió a casa con ninguna
Las direcciones, si ingeniero tu camino en una instalación como tech support guy y simplemente caminar sin decirle nada a nadie después de la duplicación de la base de datos, usted deja a todos preguntándose qué pasó. Alguien puede incluso llamar el "tech support company" y preguntar si necesitaba hacer algo, o en el peor de los casos, usted acaba de dejar los trabajadores preguntando. De cualquier manera, dejando todo el mundo colgando no es el camino para salir. Incluso un simple, "He comprobado a través de los servidores y reparar el sistema de archivos; usted debe ver un aumento de 22% en la velocidad en los próximos días", deja la sensación de objetivos como si se "obtuvo su dinero". La parte difícil para un ingeniero social está consiguiendo el objetivo de adoptar una acción después de que él o ella se ha ido. Si la acción es fundamental para la realización de la auditoría de ingeniería social, entonces es posible que desee tomar ese papel sobre usted mismo. Por ejemplo, en el relato en el capítulo 3 de mi sesión de recopilación de información en el caso de la cámara de comercio, si quería ese destino para el seguimiento conmigo a través del correo electrónico que podría haber dicho, "Aquí está mi tarjeta; va a enviarme un correo algunos detalles el lunes sobre XYZ?" Él muy bien puede tener, o que podía haber ido a la oficina, olvidado de mí por completo, y todo el concierto habría fallado. Lo que sería mejor, es decir, "Me gustaría obtener más información acerca de usted. El lunes podría yo quizá le llaman o disparar un correo electrónico para obtener más detalles?"
Las solicitudes que se hacen debe coincidir con el pretexto, demasiado. Si el pretexto es ser un técnico experto, usted no "orden" a la gente en torno a lo que deben y no deben hacer; usted trabaja para ellos. Si usted es una persona de entrega de UPS, no exigir el acceso a la sala del servidor.
Como se mencionó anteriormente, pueden existir más pasos para perfeccionar un pretexto, pero las enumeradas en este capítulo puede dar un ingeniero social una base sólida para construir un pretexto perfectamente creíble. Quizás se esté preguntando, "Bueno, por lo que figuran todos esos principios, pero ¿y ahora qué?" ¿Cómo puede un ingeniero social
construir un bien investigado, creíble, espontáneo, suena simple pretexto que puede funcionar ya sea por teléfono o en persona y obtener los resultados deseados? Siga leyendo.
Pretexting exitosa
Para aprender a construir con éxito un pretexto, eche un vistazo a un par de historias de ingenieros sociales que pretextos que trabajó y cómo se desarrollaron. Finalmente lo hicieron quedar atrapados, razón por la cual estas historias están ahora disponibles. Ejemplo 1: Marca Stanley Rifkin Marca Stanley Rifkin es acreditado con uno de los mayores banco heists en Historia Americana (ver un gran artículo sobre él en www.socialengineer.org/wiki/archives/Hackers/hackers-Mark-Rifkin-Social-EngineerfurtherInfo.htm ). Rifkin fue un equipo geek que dirigía un equipo de consultoría empresarial de su pequeño apartamento. Uno de sus clientes era una empresa que presta servicios de seguridad de los equipos de Banco del Pacífico. Los 55 pisos del Pacífico sede del Banco de la seguridad nacional en Los Ángeles parecía un granito y cristal de fortaleza. Dark adecuado guardias vagaban por el vestíbulo y cámaras ocultas fotografiado clientes como hicieron los depósitos y retiros.
Este edificio parecía impenetrable, así que ¿cómo es que Rifkin se alejó con 10,2 millones de dólares y nunca tenía una pistola, nunca tocó un dólar, y nunca ocupó hasta cualquiera? Las políticas de transferencia del banco parecía seguro. Ellos fueron autorizados por un código numérico que cambia a diario y se dan sólo a personal autorizado. Fue publicado en una pared en una habitación segura que "sólo personal autorizado" tenían acceso.
Archivado desde el artículo mencionado anteriormente: En octubre de 1978, visitó la seguridad del Pacífico, donde los empleados bancarios fácilmente lo reconoció como un equipo trabajador. Él tomó un ascensor a la categoría D, donde el banco transferencia bancaria habitación estaba ubicada. Un agradable y simpático joven, él logró hablar en su camino a la sala donde el código secreto del banco-del-día fue fijada en la pared. Rifkin memoriza el código y dejó sin levantar sospechas.
Pronto, los empleados del banco en la sala de transferencia recibió una llamada telefónica de un hombre que se identificó como Mike Hansen, un empleado de la división internacional del banco. El hombre que ordenó una rutina de transferencia
Los fondos en una cuenta en el Irving Trust Company de Nueva York y proporcionó los números de código secreto para autorizar la transacción. Nada sobre la transferencia parece ser fuera de lo normal y pacífico de Seguridad transfirió el dinero al banco de Nueva York. Lo que los funcionarios del banco no sabía era que el hombre que se llamaba Mike Hansen fue hecho Stanley Rifkin, y había utilizado el código de seguridad del banco para robar el banco de 10,2 millones de dólares.
Este escenario ofrece mucho de que hablar, pero por ahora, se centran en el pretexto. Pensar en los detalles de lo que tenía que hacer: Tenía que estar seguro y cómodo, a fin de no levantar sospechas para estar en esa habitación. Tenía que haber un relato creíble cuando llamó para hacer la transferencia y tener los detalles para realizar una copia de seguridad de su historia. Tenía que ser espontánea suficiente para ir con el flujo con preguntas que pudieran haber surgido. Tenía que ser lo suficientemente suave para no levantar sospechas. Este pretexto tuvo que ser meticulosamente planificada con todo lujo de detalles está pensado. No fue hasta que visitó un antiguo asociado que su pretexto fracasó, y fue capturado. Cuando fue atrapado, personas que le conocieron quedaron asombrados y algunos incluso dijeron cosas como, "No hay manera de que él es un ladrón; todo el mundo ama a Mark". Obviamente su pretexto era sólido. Él tenía un bien pensado, y uno podría adivinar, plan bien ensayada. Él sabía lo que hay que hacer y tocó la parte perfectamente. Cuando él estaba delante de extraños, fue capaz de reproducir la parte; su caída llegó cuando él estaba con un colega que le conocieron, y que su colega vio una noticia y luego poner dos y dos juntos y se convirtió en la marca. Sorprendentemente, aunque fuera bajo fianza, Rifkin empezó a
destinar otro banco utilizando el mismo esquema, pero un gobierno mole había fijado en él; él fue atrapado y pasó ocho años en prisión federal. Aunque la marca es un "chico malo" usted puede aprender mucho acerca de pretexting leyendo su historia. Él la mantuvo muy simple y utiliza las cosas que estaban familiarizados con él para crear una buena historia.
Mark tenía la intención de robar el dinero y convertirlo en un inatrapable commodity: diamantes. Para hacerlo se tendría primero que ser un empleado de banco para robar el dinero, entonces un importante comprador de diamantes para descargar el dinero en efectivo, y finalmente vender los diamantes para tener utilizables, ilocalizable en efectivo en su bolsillo.
Aunque su pretexto no implican elaborados trajes o los patrones de discurso tuvo que jugar el papel de un empleado de banco, entonces mayor comprador de diamantes, entonces el papel de un vendedor de diamantes. Él cambió los roles quizás tres, cuatro o cinco veces en este concierto y fue capaz de hacerlo lo suficientemente bien como para engañar a casi todo el mundo. Mark sabía quiénes eran sus objetivos y se acercó al escenario con todos los principios señalados anteriormente. Por supuesto, uno no puede condonar lo que él hizo, pero sus talentos pretexting son admirables. Si él puso su talento al buen uso que probablemente haría una gran figura pública, vendedor o agente.
Ejemplo 2: Hewlett-Packard En 2006, Newsweek publicó un artículo muy interesante ( www.socialengineer.org/resources/book/HP_pretext.htm ). Básicamente, presidenta de HP, Patricia Dunn, contrató a un equipo de especialistas en seguridad de quien contrató a un equipo de investigadores privados que utilizaron pretexting para obtener registros del teléfono. Estos profesionales contratados metimos en y desempeñó las funciones de los miembros de la junta de HP y partes de la prensa. Todo esto fue hecho para descubrir una supuesta fuga de información dentro de las filas de HP. La Sra. Dunn quería obtener los registros del teléfono de los miembros de la junta y los Reporteros (no los registros de las instalaciones de HP, pero la casa y su teléfono celular personal de registros de estas personas) para verificar donde ella suponía la fuga. El artículo de Newsweek estados:
El 18 de mayo, en la sede de HP en Palo Alto, California, Dunn surgió su bombón en la junta: ella había encontrado el leaker. De acuerdo con Tom Perkins, un HP Director, que estaba presente, Dunn estableció el sistema de vigilancia y señaló el director ofensivo, quien reconoció ser el CNET leaker. Que el director, cuya identidad no ha sido divulgada públicamente, se disculpó. Pero el director dijo entonces a sus compañeros directores, "yo lo hubiera dicho todo esto. ¿Por qué no podéis pedir?"
Fue entonces que el director le pidió que saliera de la sala de juntas, y así lo hizo, según Perkins. Lo que es notable acerca de esta cuenta es lo que se menciona a continuación sobre el tema de pretexting: El caso específico de HP también arroja otro foco sobre la cuestionable las tácticas utilizadas por los consultores de seguridad para obtener información personal. HP reconoció en una interna e-mail enviado por sus abogados externos para Perkins que consiguió el rastro de papel necesarios para vincular el director leaker de CNET a través de una controvertida práctica denominada "pretexting"; Newsweek obtuvo una copia de ese correo electrónico. Esa práctica, según la Comisión Federal de Comercio, implica el uso de "falsos pretextos" para obtener otra información no pública personal del individuo: registros telefónicos, bancarios y de tarjetas de crédito, números de cuenta, números de la Seguridad Social y similares. Normalmente-decir en el caso de una compañía telefónica-pretexters invocar y representar falsamente a sí mismos como el cliente; ya que las empresas rara vez requieren contraseñas, un pretexter pueden no necesitar más de un domicilio, número de cuenta y ferviente súplica para obtener los detalles de una cuenta. Según la Comisión Federal de Comercio del sitio Web pretexters vender la información a las personas que pueden variar desde legítima investigadores privados, financieros de los prestamistas, los posibles litigantes y cónyuges sospechosos a aquellos que podrían intentar robar bienes o fraudulentamente obtener crédito. Pretexting, la FTC sitio declara, "es contra la ley." La FTC y varios fiscales generales estatales han traído acciones policiales contra pretexters supuestamente por violar leyes federales y estatales sobre el fraude, la falsificación y la competencia desleal. Uno de los directores de HP es Larry Babbio, presidente de Verizon, que ha presentado varias acciones contra pretexters. (Si está interesado en explorar, los registros telefónicos y Privacy Protection Act de 2006 se puede encontrar en Http://frwebgate.access.gpo.gov/cgibin/getdoc.cgi?dbname=109_cong_bills&docid=f:h4709enr.txt.pdf .)
El resultado final fue que se presentaron cargos penales no sólo contra Dunn, sino contra ella los consultores contratados. Usted puede preguntarse, "¿Cómo es que
Considerando posibles fueron contratados y contratadas para realizar estas pruebas?". Eche un vistazo a las vías que han utilizado y qué información han obtenido para ayudar a contestar esta pregunta. Los consultores obtuvo los nombres, direcciones, números de Seguridad Social, los registros de llamadas telefónicas, registros de facturación telefónica, y otra información de los miembros de la junta de HP y reporteros. Que realmente utilizan el número de la Seguridad Social para establecer una cuenta en línea para un reportero y luego obtener registros de sus llamadas personales. Página 32 de un documento confidencial de Hewlett-Packard a su abogado y personal jurídico interno ( Www.socialengineer.org/resources/book/20061004hewlett6.pdf ) enumera una comunicación de Tom Perkins a los miembros de la junta de HP que ofrece un poco más de información sobre qué pretextos fueron utilizados. Algunas tácticas utilizadas fueron:
Representaban a sí mismos como la empresa transportista para obtener los registros de llamadas de forma ilegal. Las identidades de los investigados fueron utilizados y falsificar para obtener sus registros de llamadas personales. Cuentas en línea con los transportistas se generaron utilizando nombres obtenidos ilegalmente, números de la Seguridad Social y otra información para acceder a sus registros de llamadas. El 11 de septiembre de 2006, la Cámara de Representantes de los Estados Unidos Comité de Energía y Comercio, envió una carta a la Sra. Dunn (ver una copia de esta carta a Www.socialengineer.org/resources/book/20061004hewlett6.pdf ) solicitando la información que había obtenido. Se enumeran en la información obtenida de sus solicitudes como las siguientes: Todos publicados y no publicados los números de
teléfono Cuentas de tarjetas de crédito Nombre y dirección del cliente info Las facturas de servicios públicos Los números de buscapersonas Los números de celda Los números de la Seguridad Social
Los informes de crédito Post office Box información Información de la cuenta bancaria Información de activos Otra información de consumo Toda esta información se obtuvo a través de un área muy gris de profesionales de la ingeniería social: es lo que hicieron, ética y moral, a pesar de que fueron contratados para hacerlo? Muchos ingenieros sociales profesionales no iría a estas longitudes. La lección de este caso es muy importante que un profesional como ingeniero social puede imitar las metodologías y el pensamiento de los ingenieros sociales malintencionados, pero nunca debe agachar totalmente a sus niveles. El problema con estos consultores procedía en que estaban autorizados a pretexto, ingeniero social, auditoría y Hewlett-Packard. No estaban autorizados a ingeniero social de AT&T, Verizon, empresas de servicios públicos, y así sucesivamente. Al emplear pretexting debe tener esbozó y planificado para que usted sepa qué líneas legales puede llegar cerca y qué líneas no debe cruzar.
La historia de HP se presta a un debate acerca de las políticas, contratos y describiendo qué usted podrá ofrecer si usted es un ingeniero social auditor, pero estos temas no están dentro del contexto de este capítulo. Utilizando los principios descritos hasta ahora en este capítulo pueden ayudarle a tomar decisiones que le mantendrá fuera de problemas. El peligro con malas pretexting es la amenaza del robo de identidad, lo que lo convierte en una pieza muy válida de un ingeniero social pentest. Las pruebas, control y verificación de que los empleados de su cliente no caerá por los métodos utilizados por los ingenieros sociales malintencionados pueden recorrer un largo camino en la salvaguardia de un exitoso pretexter.
Permanecer Legal En 2005, un investigador privado, Magazine concedió una entrevista con Joel Winston, Director Asociado de la Comisión Federal de Comercio
(FTC), la división de las prácticas financieras. Su oficina se encarga de la regulación y supervisión de la utilización de pretexting (ver un ejemplar de este valioso artículo en
Www.social-engineer.org/resources/book/ftc_article.htm ). Aquí están algunos de los puntos clave de esta entrevista: Pretexting, según la FTC, es la obtención de toda la información de un banco o el consumidor, no sólo en la información financiera, mediante fraude, engaño o preguntas engañosas para obtener dicha información. Utilizando ya obtuvieron información para verificar que un objetivo es un objetivo, incluso mientras está utilizando falsos pretextos, es legal en virtud de la FTC de definición de pretexting, a menos que el ingeniero social está utilizando esta información para obtener información de una institución financiera.
La adquisición de peaje o teléfono celular a través de registros de prácticas comerciales engañosas pretexting es considerada ilegal.
El sitio web de la FTC proporciona cierta claridad e información adicional para esta entrevista: Es ilegal para cualquier persona a utilizar falsos, ficticios o fraudulentos, declaraciones o documentos para obtener la información de los clientes de una institución financiera o directamente desde un cliente de una institución financiera.
Es ilegal para cualquier persona para uso de los falsos, falsificados, robo o extravío de documentos para obtener la información de los clientes de una institución financiera o directamente desde un cliente de una institución financiera.
Es ilegal que cualquier persona solicite a otra persona para que alguien del cliente utilizando información falsa, ficticia, o declaraciones fraudulentas o utilizando falsos, ficticios o documentos fraudulentos o falsificados, la falsificación, el robo o extravío de documentos. Aunque la FTC se centra en las instituciones financieras, las directrices que se exponen son un recordatorio de lo que se considera ilegal en los Estados Unidos. Busca en sus leyes locales y asegurándose de que no están rompiendo esas leyes es una buena idea para los profesionales de los ingenieros sociales. En 2006, la Comisión Federal de Comercio se trasladó a ampliar la sección 5 de
la Ley FTC que incluyan específicamente una ley que prohibía el uso de pretexting para recuperar registros telefónicos.
HP's pretexting situación terminó en uno de los investigadores privados están acusados de conspiración y robo de identidad federal acusaciones muy serias. Mantenimiento legal pretexting implicará algunas investigaciones por parte de los profesionales, así como el ingeniero social claramente definida y firmado-off plan
De lo pretextos, si cualquiera, será utilizado. A pesar de las cuestiones jurídicas que se mencionó anteriormente, utilizando un pretexto sólido es una de las maneras más rápidas en una empresa. Pretexting es un talento propio y, como se puede ver en este capítulo, no es simplemente poner una peluca o un par de anteojos falsos y fingir que es alguien que no lo son.
Pretexting herramientas adicionales Existen otras herramientas que pueden mejorar un pretexto. Props puede ir un largo camino para convencer a un objetivo de la realidad de su pretexto; por ejemplo, señales magnéticas para su vehículo, emparejando los uniformes o trajes, herramientas u otros carry-ons, y el más importante, una tarjeta de visita. La potencia de la tarjeta me golpeó cuando recientemente se me vuela a Las Vegas por negocios. Mi bolsa para portátil normalmente obtiene escaneados, analice y, a continuación, limpió para bombardear el polvo o lo que sea. Soy uno de esos chicos que no le importa la seguridad extra precauciones porque me mantienen de volar en el aire, y estoy contento con eso.
Sin embargo, soy consciente de que el 90 por ciento del tiempo voy a obtener atención extra por la Transportation Security Administration (TSA). En este viaje, me había olvidado de tomar mi lock picks, RFID escáner, cuatro discos duros extra, golpear las teclas (ver capítulo 7), y la plétora de wireless hacking engranaje de mi maleta bolsa de ordenador portátil. A medida que pasa el escáner oigo a la señora que trabajaba el X-ray dice, "¿Qué diablos?".
A continuación, llama a otra señores que mira fijamente la pantalla y dice, "no tengo idea de qué diablos es esa cosa". Entonces él mira alrededor, ve mi rostro sonriente y dice, "¿Es usted?".
Estoy caminando a la mesa con él como él es vaciar mi lector RFID y mi maletín grande de bloqueo de picos y dice, "¿Por qué tienes todos estos elementos y qué son?". Yo no tenía nada planificado pero se decidió en el último segundo para
probar este movimiento: me sacó una tarjeta de negocios y dijo, "Yo soy profesional de la seguridad que se especializa en las pruebas de redes, edificios y personas para los agujeros de seguridad. Estas son las herramientas de mi negocio." Esto lo dije, le entregué una tarjeta de negocios y él miró durante unos cinco segundos y luego dijo, "Oh, excelente.
Gracias por la explicación". Él perfectamente poner todos mis artículos atrás, comprimidos en la bolsa, y me dejaron ir. Por lo general voy a través de la detección de bombas, la pequeña máquina de polvo y, a continuación, una patdown, pero esta vez todo lo que obtuve fue un gracias y una liberación rápida. Empecé a analizar lo que hice de manera distinta a la normal. La única diferencia era que yo le había dado una tarjeta de negocios. Concedido, mi tarjeta no es el $9.99 especial desde una impresora de tarjeta online, pero me sorprendió que lo que parece haber sucedido es que una tarjeta de negocios añadido un sentido de licencia a mis reclamos. Mi siguiente cuatro vuelos yo deliberadamente lleno cada "hacking" del dispositivo en mi equipaje, he podido encontrar y, a continuación, mantiene una tarjeta en mi bolsillo. Cada vez que mi maleta fue examinada y se me preguntó acerca de los contenidos, he volteado fuera de la tarjeta. Cada vez que se disculpó, tenía mis artículos envasados en forma impecable, y deje que se vaya. Imaginen mi experiencia fue un pretexto. Pequeños detalles pueden añadir mucho peso a lo que estoy diciendo que me parecen válidos, confiables y sólidos con nada más que una tarjeta que le dice a la gente que todo lo que digo es verdad. No subestime el poder de una tarjeta de negocios. Una palabra de cuatela: obteniendo una débil y patético-buscando tarjeta puede causar el efecto opuesto. Una tarjeta de presentación que es "libre" con un anuncio en la parte de atrás no añade peso a un profesional de pretexto. Pero no hay razón para gastar $300 en una tarjeta de presentación a utilizar una vez. Muchas impresoras de tarjetas de negocios en línea puede imprimir una pequeña cantidad de tarjetas muy bonito por menos de 100 dólares. Otra razón para tomar este capítulo muy en serio es que muchas veces pretexting es el primer paso utilizado por los ladrones de identidad profesional. Porque el robo de identidad es teniendo un asiento de primera fila en la industria del crimen de la tarde, sabiendo qué es y cómo identificar es importante para los consumidores, las empresas y los profesionales de la seguridad. Si usted es un auditor de seguridad debe ayudar a sus clientes a ser conscientes de estas amenazas y probarlas para posibles debilidades.
Resumen Además de cubrir ampliamente pretexting y proporcionando ejemplos del mundo real de pretexting en acción, este capítulo también continuamente de cepillado
En contra de los principios psicológicos que afectan a distintos aspectos de pretexting. La siguiente parada lógica en el marco abarca solo que las habilidades mentales que utilizan los ingenieros sociales profesionales que los hacen parecer como maestros de control mental y que cada ingeniero social dan una enorme ventaja en el éxito.
Capítulo 5
Trucos mente: principios psicológicos utilizados en la ingeniería social
Todo depende de cómo vemos las cosas, y no en cómo están ellos mismos. -Carl Gustav Jung
En las películas de Hollywood y programas de televisión con hombres y el cumplimiento de la ley están retratados con talentos casi místico. Tienen la capacidad de salir con cualquier cosa; ellos parecen ser capaces de sólo mirar a los ojos de una persona y saber si están mintiendo o diciendo la verdad. No es infrecuente ver situaciones como esta: la cop mira en los ojos de su sospechoso y automáticamente se puede decir si él está mintiendo o diciendo la verdad, o tan sólo con el poder de la sugerencia del engaño del hombre son objetivos de traspasar sus ahorros de la vida. Las películas pueden tener que creer que las tácticas de manipulación y hacer que la gente pueda hacer lo que usted desea es plausible o incluso fácil. Estos escenarios son realmente ficción? Es posible obtener tales habilidades que se guardan para la fantasía en las películas? Este capítulo podría ser un libro en sí mismo, pero voy a condensar la información en principios que realmente cambiar la forma de interactuar con la gente. Algunos de los temas de este capítulo se basan en investigaciones realizadas por las mentes más brillantes en sus respectivos campos. Las técnicas que se describen en estos temas fueron probados y ponga a través de los pasos en los entornos de ingeniería social. Por ejemplo, el tema de microexpressions está basado en la investigación del mundialmente reconocido psicólogo e investigador, el Dr.
Paul Ekman, quien utilizó su genio para desarrollar técnicas en la lectura de expresiones faciales que literalmente puede cambiar la forma en que la aplicación de la ley, los gobiernos, los médicos, y todos los días en que las personas interactúan con los demás.
Algunos de los principios de Richard Brandler y John Grinder, el
Creadores de programación neurolinguistic, cambió la comprensión de la gente acerca de los patrones de pensamiento y el poder de las palabras. Estos temas son objeto de mucho debate, y en este capítulo se intenta clarificar este tema y explicar cómo puede usarlos en la ingeniería social.
Algunos de los mejores interrogadores en el planeta ha desarrollado la formación y marcos para ayudar a encargados de hacer cumplir la ley efectivamente aprende a interrogar a los sospechosos. Estos principios tienen tan profundas raíces psicológicas que aprender los métodos utilizados literalmente puede abrir las puertas de las mentes de sus objetivos. Mediante indicaciones que da la gente en su lenguaje, gestos, ojos y caras puede hacer que usted parece ser un lector de la mente. Este capítulo examina estas habilidades y explica en detalle para que puedan ser utilizados por un ingeniero social profesional. Rapport es a menudo una palabra usada por formadores de ventas y vendedores, pero es un aspecto muy importante de ganar confianza y mostrar confianza. Saber cómo desarrollar instantáneamente relación con la gente es una habilidad que realmente mejora las habilidades de un ingeniero social, y este capítulo le muestra cómo.
Este capítulo termina con mi propia investigación sobre cómo puede utilizar estas habilidades para hackear la mente humana. Un desbordamiento de búfer es un programa generalmente escrito por un hacker ejecutar código, de intenciones maliciosas, normalmente mediante el uso normal de un programa host. Cuando se ejecuta el programa no hace lo que el hacker quiere. ¿Y si fuera posible ejecutar "comandos" en la mente humana que podría provocar que el objetivo de hacer lo que le pides, entregar la información que buscan y, en esencia, demostrar que la mente humana es capaz de ser manipulado? Esta información poderosa, por supuesto, puede ser utilizado para muy intenciones maliciosas. Mi objetivo en la liberación de esta información al público de esta manera es tirar hacia atrás de la cortina, en lo que a los "chicos malos" están haciendo al exponer sus métodos, ideas, y principios y, a continuación, analizando cada uno de ellos y mostrar lo que se puede aprender de ella.
Exponer estas técnicas permite identificar, defender y mitigación contra estos ataques más fácil para todos.
Este capítulo es realmente una colección que alteran la mente de datos y principios. Después, estudiar e investigar los métodos no sólo mejorar cualquier empeño de seguridad pero estos principios también pueden alterar la forma
Comunicarse e interactuar con otros. No significa, sin embargo, es este capítulo una colección completa que cubre todos los aspectos de cada una de estas habilidades. Me proporcionan enlaces y consejos para donde puede encontrar más información y los programas para ayudarte a mejorar esas habilidades. Este capítulo establece una fundación así como actúa como una guía, apuntando en una dirección para que usted pueda aprender a mejorar cada habilidad a lo largo del tiempo. Aprendizaje de técnicas de ingeniería social no es un proceso rápido, por lo tanto, no se impaciente. Los métodos de aprendizaje de algunas de estas habilidades pueden tomar años para perfeccionar y mucha práctica incluso a dominar. Por supuesto, usted puede poseer una habilidad de un determinado aspecto, pero si no, no ser impacientes con tratando de aprender. Seguir tratando más y practicando y lo va a conseguir.
Antes de entrar en la carne de este capítulo, en la sección siguiente establece la etapa del por qué y cómo estos principios funcionará. Usted debe entender los modos de pensar que existen. Después de comprender más claramente cómo la gente para tomar y procesar la información puede empezar a entender el emocional, psicológica y representaciones físicas de ese proceso.
Modos de pensar Para modificar el modo de pensar de alguien debe entender la manera de pensar de la gente y en qué modos de pensar. Esto parece un primer paso lógico para siquiera tratar este aspecto de la ingeniería social. Usted podría pensar que necesita ser un psicólogo o un neurólogo para entender muchos aspectos de cómo una persona puede pensar. A pesar de que puede ayudar, no es necesario. Con un poco de investigación y algunas aplicaciones prácticas puede ahondar en el funcionamiento interno de la mente humana. En agosto de 2001, el FBI presentó una ley boletín ( www.socialengineer.org/wiki/archives/ModesOfThinking/MOT_FBI_3of5.htm ) que hizo
unas declaraciones muy profundo sobre los modos en que la gente piensa:
Simplemente confirmando su comportamiento no verbal del cliente, utilizando el lenguaje del sistema de representación preferido del cliente y la coincidencia de volumen, tono de voz y el área de expresión frecuentemente supera la renuencia del cliente para comunicarse.
Esta simple declaración tiene mucha profundidad en ella. Básicamente es decir que si usted puede calcular primero el objetivo dominante del modo de pensamiento y confírmela en formas sutiles, puede desbloquear las puertas de la mente del destino y le ayudará a sentirse realmente a gusto cuando le dice a usted incluso detalles íntimos. Lógicamente, usted puede preguntar, "¿Cómo puedo averiguar el destino de modo dominante de pensamiento?". Ni siquiera preguntar a la gente lo que su modo de pensar es no ofrecen una respuesta clara, porque muchas personas no saben cuál es el modo de pensar que a menudo residen en. Debido a que, como un ingeniero social debe tener algunas herramientas que le ayudarán a determinar de este modo y, a continuación, cambiar rápidamente los engranajes para que coincida con el modo. Un claro y sencillo camino existe para esta respuesta, pero necesita saber lo básico primero.
Los sentidos Durante siglos los filósofos han afirmado el valor de la percepción. Algunos van tan lejos como para decir que la realidad no es "real" pero sólo lo que nuestros sentidos construir en nuestras percepciones. Personalmente, yo no estoy de acuerdo con esa idea, pero creo que el mundo es traído a nuestro cerebro a través de nuestros sentidos. Las personas interpretan los sentidos por su percepción de la realidad. En la clasificación tradicional tenemos cinco sentidos: la vista, el oído, el tacto, el olfato y el gusto. Las personas tienden a favorecer a uno de estos sentidos y que es el que predomina. Es también la forma en que las personas tienden a recordar cosas. Como un ejercicio para determinar el sentimiento dominante, cierre los ojos e imagínese despertar esta mañana ¿Cuál es la primera cosa que usted recuerde?
Fue la sensación del calor del sol en la cara? O tal vez usted recuerde el sonido de la voz de su cónyuge o de los hijos llamado? ¿recuerda claramente el olor a café abajo? O posiblemente el mal sabor en la boca, recordándole que necesita cepillarse los dientes?
Por supuesto, esta ciencia no es exacta y darse cuenta de que lo que su sentido es dominante puede tardar unos intenta averiguar. Yo una vez hablé con una pareja acerca de este concepto, y resulta interesante ver sus expresiones. La primera esposa recuerda despertarse y ver el reloj y luego preocuparse por que estaba atrasado, mientras que el marido en primer lugar recordar voltean y
No se siente su esposa junto a él. Después de algunas preguntas más, resultó evidente que el marido era kinestésica , o su sentimiento dominante era su sentimiento, mientras que su esposa fue muy visual. Por supuesto, caminar hasta su destino y diciendo, "Cierra los ojos y me diga la primera cosa que usted recuerde esta mañana", no parece razonable. A menos, por supuesto, su pretexto es la familia shrink, que podría reunirse con cierta oposición en esta ruta. Cómo se puede determinar sin pasar por un embarazoso interrogatorio sobre sus rituales mañana qué sentido dominante de un destino?
Los tres principales modos de pensar Aunque tenemos cinco sentidos, los modos de pensar están asociados con sólo tres de ellos: La vista, o un pensador visual La audición, o un pensador auditivo Sentimiento, o un pensador quinestésica Cada sentido tiene un rango dentro del cual funciona, o una submodalidad . Es algo demasiado débil o demasiado fuerte? Demasiado brillante o demasiado oscura? Demasiado calor o demasiado frío? Ejemplos de estos son los siguientes: mirando al sol es demasiado brillante, los motores a reacción son demasiado fuertes, y de -30 grados Fahrenheit está demasiado frío. Ivan Pavlov ejecutó un experimento donde sonó una campana cada vez alimentó a un perro. Al final el perro se oye el sonido de la campana, luego salivar. Lo que la mayoría de la gente no sabe es que él estaba más interesado en los aspectos físicos y emocionales de la sub-modalidades. El punto interesante es que el más fuerte sonó la campana más el perro salivated. El cambio de gama de la sub-modalidad produjo un cambio físico directo. La investigación de Pavlov y todas sus conferencias se examinan en mayor detalle en www.ivanpavlov.com .
Aunque las personas son muy diferentes a los perros, Pavlov la investigación es muy importante en la comprensión de cómo una
persona piensa. Muchos de nosotros podemos pensar en los tres modos, pero nos dominan en uno-uno "anillos" el más alto. Incluso en el seno de nuestro modo dominante, podríamos tener diferentes grados de profundidad para que el sentimiento dominante. Siguiente trataré algunos de los detalles de cada uno de estos modos en
Más profundidad. Visual La mayoría de las personas normalmente son pensadores visuales, en la que suelen recordar lo algo parecido. Recuerdan la escena claramente- los colores, las texturas, el brillo o la oscuridad. Pueden claramente la imagen de un evento pasado e incluso crear una imagen para un evento futuro. Cuando son presentados con material para decidir a menudo necesitan algo que ver porque el input visual está directamente vinculada a la toma de decisiones. Muchas veces un pensador visual tomará una decisión basada en lo que es visualmente atractivo para él, independientemente de lo que realmente es "mejor" para él.
Aunque los hombres tienden a ser visuales, esto no significa que todos los hombres son siempre visual. Que la comercialización visual o visual aspectos normalmente atraen a los hombres es cierto, pero no asumir que todos los hombres son visuales. Una persona visual se utiliza a menudo ciertas palabras en su discurso, tales como:
"Veo lo que quieres decir". "Que parece bueno para mí". "Obtengo la imagen ahora". Y el rango que el sentimiento dominante en las obras de un pensador visual puede tener ciertas características, o sub-modalidades, tales como:
(La luz brillante o tenue) Tamaño (grande o pequeño) El color (blanco y negro o color). Movimiento (Rápido o Lento) Focus (claro o turbio) Tratando de debate, vender, negociar, manipular o influir en un pensador visual con ningún input visual es muy difícil, si no
imposible. Pensadores visuales input visual necesario para tomar decisiones.
Auditivos Pensadores auditivo recordar los sonidos de un evento. Recuerdan que el
Alarma era demasiado fuerte o que la mujer le susurró demasiado baja. Recuerdan la dulzura de la voz del niño o el miedo de la corteza del perro. Las personas auditivas aprenden mejor de lo que escuchan y pueden conservar mucho más desde que se le han dicho cosas que se muestran cosas.
Porque un pensador auditivo recuerda el camino algo sonado, o porque los sonidos mismos ayudan recordar memorias, él puede utilizar frases como las siguientes: "alto y claro…". "Algo me dice…". "Eso suena bien para mí". Y el rango de este sentido dominante puede estar dentro de estos submodalidades:
Volumen (alta o baja) Tono (base o agudos) Tono (alto o bajo) Tempo (Rápido o Lento) Distancia (cerca o lejos) Es indispensable elegir las palabras cuidadosamente con pensadores auditivo. Las palabras que oyen hará o romper el acuerdo. He visto todo, se encuentra van desde grandes a un desastre con una palabra equivocada a un pensador auditivo. Sinestésica Pensadores quinestésica están preocupados con los sentimientos. Recuerdan cómo un evento les hicieron sentir el calor de la habitación, la brisa hermosa en su piel, cómo la película les hizo saltar fuera de su asiento con miedo. A menudo pensadores quinestésica sentir cosas con sus manos para obtener el sentido de los objetos. Simplemente decirles algo es suave no es tan real como permitirles tocarlo. Pero ayudando a recuperar un elemento suave tocaron antes puede recordar las emociones y sentimientos que son muy reales, a un pensador quinestésica. El término "Cinético" se relaciona con el tacto, visceral y sentido de auto
las sensaciones del cuerpo, básicamente, donde el cuerpo de una persona está en el espacio y la auto-conciencia de cómo algo que le hace sentir. Un pensador quinestésica
Utiliza frases como: "Puedo comprender esa idea". ¿Qué tiene que agarrar?". "Voy a ponerme en contacto con usted". "Yo sólo quería tocar la base". "¿Cómo te sientes?". Y el rango de este tipo puede tener los siguientes submodalidades:
La intensidad (fuerte o débil) Área (grandes o pequeñas) Textura (áspero o suave) Temperatura (caliente o frío) Peso (pesado o ligero) Ayudar a un pensador quinestésica recordar un sentimiento o emoción atada a algo que puede hacer reaparecer esas emociones tan real como la primera vez que ocurrieron. Pensadores kinestésica son probablemente los más difíciles para los no-pensadores quinestésica abordar porque no reaccionan a las vistas y los sonidos y los ingenieros sociales tienen que ponerse en contacto con sus sentimientos para comunicarse con este tipo de pensador. La comprensión de estos principios básicos pueden recorrer un largo camino para ser capaces de discernir rápidamente el tipo de persona con la que estás hablando. De nuevo, sin pedir el destino a imaginar sus rituales mañana ¿Cómo se puede discernir el sentido dominante? Más aún, ¿por qué es tan importante?
Discernir el sentido dominante La clave para determinar el sentimiento dominante de alguien es intentar presentarte, iniciar una pequeña conversación, y preste atención a lo que se dice. A medida que usted camina hasta la meta y apóyese en decir buenos días, quizá apenas te mira. Ella podría ser groseros, o ella puede no ser una representación visual. Los efectos visuales deben mirar a la
persona que habla para comunicarse correctamente, de modo que este comportamiento parece dar al hecho de que ella no es visual. Ahora plantear una pregunta simple como, "no le encanta la sensación de un hermoso día como hoy?" y observe su respuesta, particularmente si ella parece encenderse
O NO. Quizás usted lleve un gran anillo de plata brillante. Como usted habla usted gesto; quizás se puede ver que el anillo las capturas de su ojo. ¿Ella llegar, interesados, y la necesidad de retener el anillo o acercarse a observar? Kinesthetics son muy delicada-feely cuando se trata de estas cosas. Conozco a una mujer que es fuerte y kinestésica cuando ella ve algo que ella piensa que es suave o de alta calidad que debe tocar. Ella va a decir, "Wow, que parece tan suave suéter!" de esa declaración se podría asumir ella es visual, pero lo que ocurre a continuación es lo que se solidifica. Luego ella camina hasta la persona y toca el suéter y se siente. Esto demuestra su sentimiento dominante es sinestésica. La misma mujer debe tocar todo en la tienda cuando ella tiendas, si ella lo necesita o no. Tocando los objetos, ella hace una conexión y que conexión hace real para ella. A menudo no puede recordar cosas muy bien que ella no entra en contacto físico con el.
Preguntas que contienen algunas de las principales palabras dominantes, observando las reacciones de un destino, y escuchar puede revelar qué sentido dominante que él o ella utiliza. La escucha de palabras clave tales como ver, mirar, brillante, oscura puede conducir a tratar un destino como un visual. Como se mencionó anteriormente esto no es una ciencia exacta. No hay una regla general que dice que si una persona dice, "puedo ver lo que están diciendo…", entonces él es siempre un visual. Cada pista debería llevarte por el camino a verificar su corazonada con más preguntas o afirmaciones. Una palabra de cuatela: hablando con alguien en un modo diferente de lo que piensan en puede ser irritante para algunos. Usar preguntas para determinar el modo de pensar de la persona puede ser desagradable. Utilice las preguntas con moderación y confiar más en la observación.
¿Por qué es importante comprender el modo Una vez trabajé con un chico, Tony, quien podría vender un vaso de agua a un hombre ahogándose. Tony era un gran creyente en buscar y, a continuación, usando un sentido dominante de la persona de ventas. Había algunos de los métodos que ha utilizado que puede aprender. Cuando se acopla el destino tenía muy brillantes de oro y plata bolígrafo que celebraría en su mano. Él sería un montón de gestos y observe si la
persona sigue la pluma con sus ojos; si hizo algo Tony sería realizar continuamente los gestos más grande para ver si sus ojos
Seguido. Si parece que no ha funcionado en los primeros segundos él haga clic en la pluma de abierto y cerrado. No era un ruido fuerte, pero lo suficientemente alto como para interrumpir un pensamiento y llamar la atención de alguien si ella fuera un auditorio. Si pensó que estaba trabajando en él haría clic con cada pensamiento importante, causando la meta de tener una reacción psicológica para el sonido y lo que se decía. Si parece que no ha funcionado iba a llegar a lo largo de la tabla y el toque de la muñeca o del antebrazo, o si fue lo suficientemente cerca toque su hombro. Él no toque demasiado, pero lo suficiente para ver si ella podría asustarse o parecía demasiado feliz o perturbado por el tacto.
Con estos métodos sutiles podía discernir rápidamente qué sentido dominante de la persona era más probable. Todo este actuar tardaría menos de 60 segundos. Después de haber encontrado la información que estaba buscando, entonces comenzar a mover su conversación para que el sentimiento dominante, incluso teniendo sobre los rasgos de ese sentido en las palabras que pronunció y modo de actuar y reaccionar a la conversación. Una cosa acerca de Tony es que vendieron a cualquier persona que he conocido jamás. La gente suele decir acerca de él, "es como él sabía exactamente lo que necesitaba". Tony podría hablar con la persona y tratar a la persona la forma en que querían ser hablado. Si la persona era un pensador visual, Tony sería utilizar frases como "usted puede ver lo que estoy diciendo?" o "¿Cómo funciona este aspecto para usted?" Él haría uso de ilustraciones que participan "ver" las cosas o visualizar escenarios. Iba a poner a la gente en su zona de confort. La gente se siente a gusto cuando están en su zona de confort. Cuanto más que usted puede hacer como un ingeniero social poner a la gente en su zona de confort, más probabilidades tendrá de éxito. Las personas se inclinan hacia aquellos con quienes se sienten cómodos; es la naturaleza humana. Por ejemplo, si alguien te hace sentir "cálida y difusa", o parece entender lo que está diciendo, o parece ver de dónde venimos, puede abrir fácilmente, confianza, y que esa persona en su círculo. Quiero reiterar este punto: buscar y usar el sentido dominante de alguien no es una ciencia exacta. Un ingeniero social debe usarlo como
una herramienta en el arsenal y no confiar en él como algo mágico o científica. Algunos aspectos psicológicos de la naturaleza humana son científicamente probados y pueden ser invocados. Como cuestión de hecho, algunos de estos aspectos son tan
Impresionante que puede hacer parecer como un lector de la mente. Algunas de ellas han sido un tema de debate serio y aceptado por algunos psicólogos, el cumplimiento de la ley, y los ingenieros sociales durante años. La siguiente sección de este capítulo analiza estos, empezando con microexpressions.
Microexpressions Usted probablemente está familiarizado con la idea de leer las expresiones faciales. Cuando alguien es feliz, triste, enojado, o lo que sea, cuando alguien siente que usted puede mirar su rostro y ver que la emoción. ¿Qué pasa si alguien intenta fingir que la expresión, como una sonrisa falsa? Todos hemos hecho, caminando por el mercado y chocar contra alguien simplemente no nos gusta mucho que nos pone en una "sonrisa" y decir "Hola Juan, bueno ver a usted. Diga hola a Sally".
Podemos actuar muy agradable y cordial, pero dentro de nada, pero tenemos la sensación de irritación. Las expresiones que mostramos durante largos periodos de tiempo en nuestra cara se llaman macroexpressions y son generalmente más fáciles para que la gente vea la emoción que está siendo transmitida. Similar a microexpressions, macroexpressions están controladas por nuestras emociones, pero no son involuntarias, y a menudo puede ser simulada.
A unos pocos pioneros en el estudio del comportamiento humano han pasado décadas investigando algo, acuñó microexpressions , para entender cómo los seres humanos las emociones del relé. Microexpressions son expresiones que no son fácilmente controlables y ocurren en reacción a las emociones. Una emoción desencadena ciertas reacciones musculares en una cara y las reacciones causan ciertas expresiones que aparecen. Muchas veces estas expresiones duran tan corto como un vigésimo quinto de segundo. Porque son movimientos musculares involuntarios debido a una respuesta emocional, son casi imposibles de controlar.
Esta definición no es una nueva comprensión; Charles Darwin escribió un libro en 1872 llamado, la expresión de las emociones en el hombre y los animales. En este libro Darwin observó el carácter universal de las expresiones faciales y cómo se utilizaron los músculos en las expresiones faciales. A principios de la década de 1960, dos investigadores, Haggard y Isaacs, descubrió por primera vez
Lo que hoy se denomina microexpressions. En 1966, Haggard y Isaacs describe cómo descubrieron estas expresiones "micromomentary" en su publicación titulada Micromomentary expresiones faciales como indicadores de los mecanismos del ego en psicoterapia . También en la década de 1960, William Condon, un pionero que estudió las horas de grabaciones fotograma a fotograma, descubrió que los seres humanos habían "micro-movimientos." Él también fuertemente investigado neurolinguistic programming (más sobre esto más adelante) y el lenguaje corporal. Probablemente, uno de los investigadores más influyentes en el campo de microexpressions es el Dr. Paul Ekman. El Dr. Ekman microexpressions pionero en la ciencia es hoy en día. El Dr. Ekman ha venido estudiando microexpressions durante más de 40 años, ha recibido el Premio Científico de Investigación así como ser etiquetados por la revista Time uno de las personas más influyentes sobre la tierra en 2009. La Dra. Ekman investigó las expresiones faciales con el psicólogo Silvan Tomkins. Su investigación reveló que, contrariamente a la creencia popular, las emociones no son culturalmente determinado, pero son universales a través de las culturas y la biológica.
Trabajando con la Dra. Maureen O'Sullivan desarrolló un proyecto llamado el Proyecto Asistentes . comenzó a ser pionera en el uso de la mentira en microexpressions detección. Él utilizó una base de 15.000 personas de todas las caminatas de la vida y de todas las culturas y encontró fuera de ese gran número de que sólo 50 tienen la capacidad de detectar un engaño sin entrenamiento.
En 1970 el Dr. Ekman desarrolló el FACS (Facial Action Coding System) para la etiqueta y el número de cada expresión humana concebible. Su trabajo se ramificó a incluir no sólo las expresiones faciales, sino también cómo el cuerpo entero estaba involucrado en el engaño.
En 1972, el Dr. Ekman ha identificado una lista de expresiones que se vinculan con basic o biológicamente emociones universales:
Ira Asco Miedo Alegría tristeza
Sorpresa La Dra. La labor de Ekman comenzó a tomar en una siguiente y muchos entornos corporativos y de aplicación de la ley comenzó a usar esta investigación en la detección de engaño. En 1990, en un documento titulado "emociones básicas", el Dr. Ekman revisó su lista original para incluir una gama de emociones positivas y negativas ( www.paulekman.com/wp-content/uploads/2009/02/Basic-Emotions.pdf ). El Dr. Ekman ha publicado muchos libros sobre las emociones, las expresiones faciales, y la mentira de detección que pueden ayudar a cada persona a comprender el valor de ser capaz de descodificar las expresiones faciales.
Esta breve historia indica que el tema no es microexpressions alguna fantasía; por el contrario, verdaderos médicos, investigadores y profesionales en el campo del comportamiento humano han puesto incontables horas en comprensión microexpressions. Como un ingeniero social, comprensión microexpressions puede ir un largo camino hacia la protección de sus clientes y enseñarles cómo aviso sutiles toques de engaño. Si usted es un ingeniero social, o simplemente una persona interesada en aprender microexpressions, recomiendo la lectura de los libros del Dr. Ekman, especialmente Emociones reveladas y Desenmascarar la Cara . Él es verdaderamente la autoridad sobre este tema. Las siguientes secciones describen los microexpressions en un formato tan simplista puede ver cómo puede utilizar esta tarde como un ingeniero social.
Como se mencionó anteriormente, el Dr. Ekman etiquetada seis principales microexpressions y posteriormente agrega el desprecio a la lista, hacer siete. Las siguientes secciones cubren estos uno por uno. Ira La ira es generalmente más fácil descubrir que algunas otras expresiones. En la ira de los labios se vuelven estrechas y tensa. Las cejas inclinada hacia abajo y se insertan juntos,
luego viene la característica más notable de la ira, el resplandor. La ira es una emoción fuerte y puede desencadenar muchas otras emociones junto con ella. A veces, cuando una persona se siente enojo en algo, lo que se ve es una microexpression tales como la que se muestra en la Figura 5-1 . Lo que resulta difícil ver es que los movimientos faciales pueden durar sólo un vigésimo quinto de segundo.
La Dra. Paul Ekman Figura 5-1: Observe el deslumbramiento, tensa los labios apretados y cejas. Aprender a ver un determinado microexpression puede mejorar mucho la comprensión de las personas. Para aprender cómo hacerlo, el Dr. Ekman recomienda practicar esa expresión en sí mismo. Él dice, siga estos pasos:
1.Tire de las cejas hacia abajo y juntos; fingir que está intentando tocar la nariz con la parte interior de las cejas.
2. Mientras tus cejas están abajo, pruebe a abrir bien los ojos, sin ajustar su posición de cejas. 3. Presione sus labios apretados. No fruncir los labios, tensa juntos. 4.El deslumbramiento. Qué emoción ¿cómo te sientes? La primera vez que lo hice, me sentí abrumada con ira. El siguiente es un punto vital en este capítulo:
Si se produce la expresión facial puede causar la emoción, eso debe significar que nuestros movimientos faciales pueden afectar las emociones vividas, y quizás incluso las emociones de quienes nos rodean. Practicar esta emoción en un espejo hasta que consiga lo que quiere. La figura 5-2 muestra una imagen de Simon Cowell vistiendo una clarísima
expresión de enojado.
Figura 5-2: Observe la clara expresión de ira en la cara de Simon.
Puede que no sea tan pronunciada como Figura 5-1 , pero usted puede ver todos los signos en su rostro de estar enojado. Dominar la capacidad de reproducir microexpressions irá una manera larga hacia la comprensión de las emociones detrás de ellos. Cuando pueda
Reproducir y decodificar un microexpression, puede comprender la emoción que lo está causando. En ese momento puede comprender el estado mental de la persona con la que está tratando. No sólo reproducir en sí mismo, pero también ser capaces de ver y leer en otros puede ser útil en el control de los resultados de sus compromisos de ingeniería social.
Asco La repugnancia es una emoción fuerte generalmente en reacción a algo que realmente no le gusta. Este "algo" no siempre tiene que ser un objeto físico; también puede ser algo que está basado en una creencia o sentimiento. Un alimento que verdaderamente odio puede provocar un sentimiento de indignación, que activará esta expresión. Lo que es sorprendente es que, incluso en ausencia del olor real o la vista de la comida, el pensamiento de que puede causar la misma emoción.
Cuando yo era un adolescente, fui a Disney World con unos amigos. No soy, y no me refiero , un fan de las montañas rusas. Después de mucho prodding fui en Space Mountain, una montaña rusa en interiores. A mitad yo había determinado que yo realmente no me importó montañas rusas cuando de repente me ha untado con algo muy húmedo y grueso. Luego fui golpeado con un olor que sólo puedo describir como el contenido del estómago. No sólo yo, sino muchos detrás de mí había la misma reacción y ninguno de nosotros podría frenar nuestro almuerzo, por así decirlo. Antes de que usted lo sabía, una simultánea puking salpicado el cristal del Tomorrowland Transit Authority, un lento recorrido de observación que ofrece una mirada a la Montaña Espacial real paseo en parte de su recorrido. Lo increíble es que la gente en el Tomorrowland ride que se sentó allí va lentamente alrededor del parque vio el aftereffects golpeó el vidrio como cabalgaban a través, y vio a todos los otros corredores contraer una enfermedad física, que les hizo vomitar también- pero no me huele el olor o tener contacto físico con el vomitar del roller coaster jinetes. ¿Por qué?
La repugnancia. Los fluidos corporales suelen llevar por sentimientos de indignación y esta es una razón por la que
durante la lectura de este párrafo se inició probablemente para exhibir las expresiones de indignación. La repugnancia se caracteriza a menudo por el labio superior se eleva para exponer los dientes y arrugas de la nariz. También puede resultar en ambas mejillas
siendo
Levantada cuando la nariz está arrugado, como si para tratar de bloquear el paso del mal olor o el pensamiento en un espacio personal. Yo estaba leyendo un artículo sobre los Juegos Olímpicos de invierno cuando vi esta foto de Ekaterina Ilyukhina (véase Figura 5-3 ) mostrando rasgos muy claros de disgusto. Observe las planteadas en el labio superior y la nariz arrugada. Ella está mirando su puntuación? Es un competidor de golpearla? No estoy seguro, pero lo que ella está mirando, no es sentarse bien con ella. Figura 5-3: claros signos de disgusto con una nariz arrugada y labio levantado.
La repugnancia es una de las emociones, según el Dr. Ekman de investigación, que está en reacción a la vista, el olfato, o incluso el pensamiento de algo desagradable. Desde un punto de vista de la ingeniería social esta emoción no podría llevarle por caminos de éxito, pero seguramente puede ayudarle a ver si usted está golpeando la marca con su target o causando que él o ella mentalmente apagar a tus ideas. Las probabilidades son que si usted causa repugnancia por cualquier motivo a su destino, se han perdido. Si su apariencia, olor, estilo, respiración, u otro aspecto de tu persona puede hacer que una persona se sienta asco, entonces es muy probable que cierre la puerta al éxito. Usted debe ser consciente de lo que es aceptable y no aceptable para sus objetivos. Por ejemplo, si la auditoría es para un prestigioso bufete de abogados y tienes muchos piercings o tatuajes, una fuerte emoción negativa puede elevarse en su objetivo, lo que puede cerrar la puerta a su intento de ingeniería social. Si usted ve una expresión facial similar a Figura 5-4 a continuación, usted sabe que es hora de abandonar la escena.
Figura 5-4: Si usted ve esta expresión, algo está mal.
Usted debe considerar seriamente su apariencia cuando se trabaja en el pretexto. Si le sucede a notar la fuerte emoción negativa de disgusto en su objetivo y, a continuación, retroceder y cortésmente excusar a sí mismo para rectificar su pretexto o encontrar un camino diferente en puede ser una buena idea.
Desprecio El desprecio es una fuerte emoción que se confunde a menudo con disgusto porque está tan íntimamente vinculados. El Dr. Ekman ni siquiera incluyen desprecio en su primera lista de la base de emociones. En el libro El Dr. Ekman emociones reveló dice, "desacato sólo se experimenta sobre las personas o las acciones de las personas, pero no sobre los sabores, olores, o toca." a continuación, dio un ejemplo de comer sesos de ternera, lo cual puede ser desagradable para usted como un pensamiento, y desencadenará la repugnancia. Sin embargo, ver a alguien comiendo ellos pueden desencadenar el desprecio por la persona que comete el acto, no el acto en sí. En mi opinión, este es un punto muy importante y que el entendimiento se hace este microexpression crucial. Ese desprecio se dirige a una persona en lugar de un objeto es crucial para entender la microexpressions que van junto con ella. Ser capaz de ver si la persona con la que está tratando se siente desprecio puede ayudarle a localizar más de cerca el motivo de su emoción.
Desprecio se distingue por las arrugas de la nariz y elevando el labio, pero sólo en un lado de la cara, mientras que la repugnancia es el incremento de la totalidad de los labios y las arrugas de toda la nariz. Una muy sutil desprecio expresión puede verse en la figura 5-5 .
La Dra. Paul Ekman
Figura 5-5: Observe la pequeña arruga la nariz y el aumento de sólo el lado derecho del Dr. Ekman de la cara. Intenta imitar el desprecio, y si son como yo, usted se siente rabia y desprecio en tu corazón. Realizar este ejercicio y ver cómo estas reacciones afectan emocionalmente es interesante.
En la figura 5-6 se puede ver Serena Williams mostrando claros signos de desprecio. He encontrado esta foto en línea y no guardar el artículo de noticias, así que no estoy seguro de lo que estaba hacia el desprecio, pero lo era, ella es obviamente sentirse mal acerca de él. Figura 5-6: Serena Williams mostrando desprecio en el lado izquierdo de su rostro.
Desprecio es acompañado a menudo por la ira, porque las cosas que pueden causar desprecio en una persona también puede provocar fuertes emociones negativas. El desprecio es una emoción desea evitar desencadenar en cualquiera con quien están tratando, especialmente si usted está en un compromiso de ingeniería social.
Miedo
El miedo es a menudo confundido con sorpresa porque las dos emociones causan reacciones musculares similares en la cara. Recientemente, mientras que en un avión, fui
A punto de escribir la sección sobre la felicidad, pero sucedió algo sorprendente en ese momento que sirvió de impulso para escribir este artículo sobre el miedo en su lugar.
No soy un hombre bajito, de 6'3", y no de una pequeña construcción, tampoco. Mientras estaba sentado en el avión con unas pocas horas para matar pensé que podría aprovechar el tiempo para trabajar. Permítaseme añadir que asientos de clase no son lo que eran. Cuando me senté con mi ordenador portátil, abrir la mirada perdida en el espacio reflexioné sobre cómo iniciar la sección tenía la intención de escribir. Pronto me di cuenta de que me iba a empezar a escribir sobre el miedo, porque los señores junto a mí sacó una botella de agua y tomó un swig, pero yo no lo veo recapitular la botella. Fuera de la esquina de mi ojo vi su botella cayendo de sus manos y hacia mi teclado. Mi reacción inmediata fue fácilmente identificado como el miedo.
Mis ojos abiertos de ancho, mientras que mis cejas eliminan juntos hacia adentro. Mis labios agrupa y hacia mis oídos. Por supuesto, no me di cuenta de todo lo que estaba sucediendo, pero después me fue capaz de analizar lo sucedido y yo sabía que había sentido miedo. A continuación, analizaron la manera yo sentí mi cara mover y determinó que si he repetido la expresión sentí esa misma emoción todo de nuevo. Estoy seguro de que tenían un aspecto similar a lo que se observa es la Figura 5-7 .
Pruebe a ver si puede generar esta emoción en ti mismo siguiendo estos pasos: 1.Levantar las cejas tan alto como se pueda. 2. Soltar la boca ligeramente abierta y tire las comisuras de sus labios.
3.Si usted puede tirar de sus cejas juntos mientras se eleva tan alto como puedas. ¿Cómo te sentiste? ¿Por qué en las manos y los brazos y el estómago? ¿Ha notado usted alguna semblanza de miedo? Si no,
pruebe el ejercicio nuevamente, pero piense en un tiempo cuando estaban en una situación (algo similar a mi experiencia de avión o un coche delante de usted chirriante frenazo) fuera de su control. A continuación, vea cómo se siente.
La Dra. Paul Ekman Figura 5-7: signos claros de miedo.
Lo más probable es que usted sentirá la emoción. Navegando por la Web he encontrado esta foto de EE.UU. La Senadora Olympia Snowe, quien se está mostrando muy claros signos de miedo (ver Figura 5-8 ). Cualquier pregunta de ella antes de que la imagen se quebró provocó una muy clara sensación de miedo. Sus cejas se elevan con sus labios ligeramente abiertos y hacia atrás, y sus cejas son casi forzados juntos mientras se eleva tan alto como se puede ir.
Desde un punto de vista de la ingeniería social, el miedo se utiliza a menudo para provocar que la gente reaccione de una determinada forma. Los ingenieros sociales malintencionados utilizan la táctica del miedo para obtener un incauto usuario haga clic en un banner o dar una valiosa pieza de información. Por ejemplo, banners malintencionados podrían reclamar "su equipo está infectado con un virus. Haga clic aquí para arreglarlo ahora!!" Estas pancartas contra usuarios no técnicos que temen que el virus y haga clic, sólo para ser infectados en ese punto.
Figura 5-8: La Senadora Snowe mostrando claros signos de miedo.
He trabajado con una empresa fue golpeado por un ingeniero social malintencionados que utilizan el miedo para acceder al edificio. Sabiendo que el CFO estaba fuera de la ciudad, en una importante reunión de negocios y no podían ser perturbados, el ingeniero social entró en la compañía como tech support guy. Él exigió acceso a la oficina del CFO, que inmediatamente fue denegado. A continuación interpretó esta línea, "Sr. Smith, el CFO, me llamó y me dijo que mientras él estaba ausente en esta reunión yo mejor venir abajo y solucionar su problema de correo electrónico y que si no es fijo mientras que él se ha ido, jefes roll". El Secretario teme que si no la arreglaron, ella sería la culpa. Su jefe sería realmente estar enojado? Su trabajo podría estar en riesgo? Porque temía un resultado negativo, el secretario deje la falsa tech support guy. Si él era un ingeniero social calificado que puede haber estado viendo sus expresiones faciales y notando si ella mostraban signos de preocupación o ansiedad, que están relacionados con el miedo. Entonces él podría haber jugado en estos signos más y más, para la obtención de su cueva en su miedo.
El miedo puede ser un gran motivador para hacer muchas de las cosas que usted (o su destino) normalmente no considerar hacerlo. Sorpresa Como se mencionó anteriormente, el Dr. Ekman y muchos otros psicólogos del área de microexpressions han coincidido en que la sorpresa está estrechamente vinculado al temor debido a ciertas similitudes. Aún así, algunos existen marcadas diferencias, tales como la dirección de los labios y la forma en que reaccionan los ojos.
Pruebe este ejercicio para mostrar sorpresa: 1.Levantar las cejas, no en el miedo, sino con el objetivo de ampliar los ojos tanto como pueda. 2.Deje que su mandíbula y unhinge ligeramente abierta. 3.Después de que usted consiga la expresión abajo pat
intenta
hacerlo
rápidamente.
Me di cuenta de que casi se vio obligado a jadeo en algunos aire cuando lo hice, causando me siento algo parecido a la sorpresa. Usted debe ver una expresión similar a Figura 5-9 .
La Dra. Paul Ekman Figura 5-9: Observe la forma de los ojos y los labios parecen similares al miedo. La sorpresa puede ser bueno o malo. Escuchar las primeras palabras de su hija, por supuesto, es una buena sorpresa. O la sorpresa puede ser uno de un evento, instrucción o pregunta que usted no esperaba que provoca esta respuesta. Eso es lo que sospecho está sucediendo a Jessica Simpson en el Figura 5-10 . Observe cómo sus cejas están levantadas y su mandíbula es lisiado y abierto. Ella está mostrando todos los signos clásicos de ser sorprendido, quizá por la pregunta que le preguntaron a ella ni una respuesta a algo que ella escuchó. Figura 5-10: a menudo se confunde con el miedo, la sorpresa tiene algunas diferencias de menor importancia.
Si la sorpresa es positiva, a menudo puede causar incluso una sonrisa o una respuesta jovial. Como expresión de Jessica se muestra en la figura 5-10, se ve sorprendido, pero también feliz acerca de la sorpresa. Un ingeniero social puede, a veces, utilizan la sorpresa al abrir la puerta del destino, por así decirlo; seguimiento con ingenio rápido o una broma puede poner rápidamente en el destino, causando su facilidad para bajar su guardia.
Tristeza La tristeza es una abrumadora y emociones fuertes. La tristeza es una de las emociones que nos sintamos nosotros mismos cuando vemos a otras personas que están expresando esta emoción. Algunas personas pueden sentir tristeza sólo por ver a otras personas que están tristes, incluso hasta el punto de gritar.
Para mostrarle lo fácil que puede sentir tristeza, pruebe este
ejercicio:
1.Soltar la boca ligeramente abierta. 2.Tirar de las esquinas de los labios hacia abajo.
3.Mantenga sus labios en el lugar, y mientras hacen que intentan elevar sus mejillas como si entornar. 4.Manteniendo esa tensión, mire hacia abajo y deje que su caída de los párpados superiores. Lo más probable es que usted comenzará a sentir tristeza. Cuando por primera vez me hizo este ejercicio, fue abrumador para mí. Instantáneamente me sentía triste y descubrí que tenía para controlar la longitud de tiempo que he realizado porque me causó estar triste por bastante tiempo. Para ver cómo esto debería mirar, observe la expresión en la Figura 5-11 .
La Dra. Paul Ekman Figura 5-11: Anuncio de los labios y los ojos señala hacia atrás y abajo, significando la tristeza. Otro aspecto de la tristeza que le hace una increíble emoción es que no siempre tienen que mostrar como angustia o dolor extremo. La tristeza puede ser muy sutil. La tristeza también puede mostrarse sólo en una parte de la cara. La gente puede tratar de ocultar la tristeza con una sonrisa falsa o lo que yo llamo "estoicos ojos", donde se mirará fijamente hacia adelante, casi aturdido, pero puedes decir que están tratando de controlar la emoción que están sintiendo. Eche un vistazo a la Figura 5-12 ; en esta imagen se puede ver un ejemplo de la tristeza se expresa de esa manera. Durante una entrevista acerca de su divorcio y familia, Kate Gosselin intenta ocultar su emoción, pero si se mira en sus labios se puede ver muy sutiles toques de tristeza.
Figura 5-12: Observe los Labios dibujados hacia atrás y abajo, significando la tristeza.
Además de los labios, los ojos son otro indicador clave de tristeza. Esta expresión puede ser difícil de leer y puede ser confundido con el cansancio y otras emociones, pero mirando el comportamiento de una persona y el lenguaje corporal también puede ayudar con las claves. Este es el caso de culturas que cubren gran parte de su rostro. Como se puede ver en la Figura 5-13 , estas mujeres están asistiendo a un funeral; aunque en su mayoría cubiertas, el centro mujer revela en sus ojos que ella es la sensación de tristeza. Figura 5-13: Observe los ojos mirando hacia abajo y la parte superior del
párpado caído.
La tristeza es a menudo usada en la ingeniería social, ya que puede desencadenar la gente a tomar una acción como donar dinero o dar información. Usted probablemente ha visto utilizado en los anuncios de televisión mostrando un niño muy desfavorecidos. Estos niños pueden estar desnutridos, pobres, y aparentemente rechazado, pero sólo para una pequeña donación puede traer una sonrisa a la cara de niño. Las imágenes de tristes, llorando, demacrado niños remolcador a tus heartstrings. No estoy sugiriendo que estos anuncios son la ingeniería social maliciosa, sólo que ellos utilizan la ingeniería social para un grado, mediante un disparador emocional para obtener una reacción fuera de la meta. Lamentablemente, los ingenieros sociales malintencionados utilizan a menudo este desencadenante emocional para obtener cosas de sus objetivos. Yo una vez fui a un restaurante y escuchó a una joven diciéndole a un grupo de personas mayores que estaban dejando que él acaba de quedarse sin gas en la autopista y necesitaba llegar a casa porque su esposa estaba embarazada de
nueve meses. Él había estado fuera del trabajo y acababa de caminaron una milla de la autopista para utilizar el teléfono para llamar a su esposa y se pregunta
Si podían darle $20. Cuando escuché algunas de la historia me ha ralentizado e hizo creer que estaba en una llamada telefónica para observar el resto. Él contó su historia y luego es respaldada con "Miren, si ustedes me dan su dirección, yo le enviará por correo un cheque por $20", concluyendo con "juro por Dios".
La historia tenía algunos elementos que podrían suscitar la compasión, especialmente cuando su rostro mostraba preocupación, ansiedad y tristeza. Él no consigue $20 le dio $20 por cada una de las tres personas en ese grupo. Dijo: "Dios te bendiga" unas cuantas veces y le dio al grupo unos abrazos y dijo que iba a ir a llamar a su esposa y decirle que él estaba en el camino de vuelta a casa. Él abrazó a ellos y sentirse como si hubieran hecho su buena acción durante la semana.
Unos minutos más tarde como estoy comiendo mi comida, lo veo en el bar bebiendo un par de totalmente pagada para bebidas con sus amigos. Mezclando una triste historia con algunas expresiones faciales tristes, había sido capaz de manipular las emociones de quienes le rodean. Felicidad La felicidad puede tener muchas facetas-tantos que yo probablemente puede hacer un capítulo acaba en ella, pero ese no es mi enfoque. Los libros del Dr. Ekman abarcan muchos excelentes puntos acerca de la felicidad y las emociones similares y cómo afectan a la persona con la emoción y ésos alrededor de él o ella. Lo que quiero centrarme en sólo un par de aspectos de la felicidad, lo más importante es la diferencia entre una verdadera sonrisa y una sonrisa falsa. La verdadera y la falsa sonrisa son un aspecto importante de las expresiones humanas para saber leer, y como un ingeniero social para saber cómo reproducir.
Ha habido un momento en que usted conoció a alguien que era muy agradable, pero después se separó de su cónyuge o usted mismo dice que este hombre era un falso…"? Es posible que no han sido capaces de identificar los aspectos de una
verdadera sonrisa en tu cabeza, pero algo le dijo que la persona no estaba siendo "real." a finales de 1800 un neurólogo francés, Duchenne de Boulogne, hizo algunas fascinantes investigaciones en sonriendo. Él fue capaz de conectar los electrodos a un hombre en la cara y el mismo "trigger" respuesta muscular en la cara con una sonrisa. Aunque
El hombre estaba utilizando todos los músculos adecuados para sonreír, de Boulogne determinó que la mirada del hombre era todavía un "falso sonrisa." ¿Por qué?
Cuando una persona sonríe de verdad, de Boulogne indica, se activan dos músculos, el principal músculo zygomaticus y el orbicularis oculi. Determinó que la distrofia muscular (orbicularis oculi alrededor de los ojos) puede activarse voluntariamente y que es lo que separa una verdadera de una falsa sonrisa. La Dra. Ekman de investigación concuerda con la distrofia y aunque investigaciones recientes indican algunos pueden entrenarse a pensar acerca de la iniciación de ese músculo, más a menudo que no, una sonrisa falsa es todo acerca de los ojos. Una verdadera sonrisa es amplia con ojos estrechos, planteó las mejillas y los párpados inferiores hacia arriba. Se ha dicho que una verdadera sonrisa implica todo el rostro, de los ojos a la boca, como se muestra en la Figura 5-14 .
Figura 5-14: Dra. Ekman demuestra una sonrisa falsa (izquierda) junto a una verdadera sonrisa (derecha).
Si tuviera que cubrir la mitad superior del Dr. Ekman la cara que sería difícil
Pulsa para decirle a una verdadera de una falsa sonrisa. No es hasta que examine los ojos que resulta claro, al lado de la otra, que la sonrisa es falsa y que es real. Cuando una persona ve una verdadera sonrisa en otra persona, puede provocar que la misma emoción dentro de ellos y hacen sonreír. Observe en la figura 5-15 la imagen de los dos monjes. El monje en el lado izquierdo de la imagen se muestre muy signos externos de una verdadera sonrisa, la verdadera felicidad. Sólo mirarlo en esta imagen probablemente puede desencadenar la felicidad en ti mismo. Desde un punto de vista de la ingeniería social, saber cómo detectar y crear también una verdadera sonrisa es una valiosa pieza de información. Un ingeniero social quiere un destino para ponerse a gusto, de modo que tenga el mayor efecto positivo sobre el destino. Los ingenieros sociales en cualquier forma, ya sean vendedores, maestros, psicólogos, o cualquier otro ingeniero social, suelen iniciar una conversación con una sonrisa. Nuestros cerebros rápidamente analizar cómo nos sentimos acerca de que el input visual dada a nosotros y puede afectar al resto de la interacción.
Mucha de la información se empaqueta en la sección anterior, pero usted puede estar preguntándose cómo los ingenieros sociales pueden formarse no sólo ver sino también microexpressions cómo usarlos.
Figura 5-15: toda su cara está involucrado en su sonrisa.
Entrenarse para ver Microexpressions Hollywood a menudo exagera las habilidades de los personajes que aparecen en las películas y la televisión. Por ejemplo, en el nuevo hit de televisión me miente (basado en la investigación del Dr. Ekman) el personaje principal, el Dr. Lightman, pueden leer microexpressions aparentemente sin esfuerzo, y lo que es aún más asombroso es que generalmente se puede decir por qué la emoción está ocurriendo. Pero en la vida real, mucha de la investigación realizada por quienes están en el campo, como el Dr. Ekman, significaba estar sentado delante de sesiones pregrabadas y analizando estas sesiones fotograma por fotograma. Después de muchos años de trabajar en esta tarea que probablemente podrá observar, recoger y analizar microexpressions muy rápidamente. En 1970 realizó un
proyecto de investigación en el que se identificaron algunos que tenían un
Habilidad natural de aviso y analizar correctamente microexpressions. Porque muchos de nosotros no podría caer en esa categoría la habilidad natural que necesitamos una manera de practicar, entrenar y dominar a la realización, lectura y utilizando microexpressions. Puedo decirles qué es lo que funciona para mí. He leído los métodos sobre cómo una determinada microexpression se identifica, a continuación, practicar la reproducción usando un espejo, comparando mi expresión a las notas de los profesionales que describen cómo se hace. Normalmente tengo una imagen que muestra la emoción que estoy trabajando porque tener algo para imitar me ayuda. Después me siento relativamente bueno de reproducir el microexpression me centraré en cómo me hace sentir, retocar áreas pequeñas hasta los movimientos musculares me causan a sentir las emociones coincidentes. Luego me inspeccionan Internet buscando fotos e intentar identificar las expresiones de esas imágenes. A continuación, puedo grabar programas de televisión o noticias y reproducir ciertas partes en cámara lenta con el sonido desactivado para ver si puede determinar la emoción y, a continuación, escuchar a la historia para ver si yo estaba cerca. Todo esto nos lleva a trabajar con vivir "temas" veo la gente interactuar unos con otros, y tratar de identificar las emociones que están sintiendo durante sus discusiones. Yo intento tanto con poder oír la conversación y también sin poder.
La razón por la que elegí este camino antes de intentar leer microexpressions en mi propia conversación es que descubrí que intentar hacerlo en un entorno real sin tener que centrarse en hacer una buena conversación es más fácil. Acabo de leer las expresiones faciales y no confundirse por otra entrada sensorial. El anterior es el método que he utilizado antes de que yo tuviera la oportunidad de reunirse con el Dr. Ekman y serán introducidas en sus métodos de capacitación. Por supuesto, él tiene libros que contienen instrucciones paso a paso en la recreación y la lectura de estas expresiones. Sus libros incluyen también fotografías mostrando las emociones, así como ejemplos de las noticias que muestran esas emociones. Su libro
emociones reveló hace esto en un formato muy profesional que es excelente para el aprendizaje.
En los últimos años, el Dr. Ekman ha desarrollado y lanzado formación específicamente para microexpressions. Su página web, www.paulekman.com , tiene tres diferentes tipos de capacitación que han cambiado la forma en que la gente puede aprender esta poderosa ciencia.
Ekman de formación proporciona al usuario una lección sobre cada tipo de microexpression mediante vídeo y texto. El usuario puede repetir la expresión video para ver cómo cada parte de la cara está involucrado. Después de que el usuario pasa tanto tiempo como el necesario aprendizaje y viendo las secciones de vídeo, ella puede tomar un pretest. El pretest le permite ver cómo ella es buena en percatarse microexpressions. Cuando el usuario intenta adivinar qué microexpression aparece, ella puede obtener confirmación o corrección. Si la corrección es necesaria entonces ella puede tener educación y capacitación adicional. Después de que el usuario confía en sus capacidades, ella puede tomar la prueba real. En el examen final de corrección no se da. El usuario se muestra una vez microexpression durante un breve un vigésimo quinto de segundo, y luego se debe seleccionar qué es microexpression y espere para clasificarse en la final.
Este tipo de herramienta de formación puede llevar años fuera de su curva de aprendizaje en la lectura microexpressions dominar. Una salvedad: El Dr. Ekman, así como sus contemporáneos, estado que aunque puede que dominen la lectura, un microexpression microexpressions es limitado. ¿Qué significa eso? Uno de los actores utilizan trucos para poder mostrar correctamente la emoción es apropiado para recordar y concentrarse en un momento en que verdaderamente se sentía la emoción que necesitan para retratar; por ejemplo, un momento de felicidad que produjo una verdadera sonrisa. Como se mencionó anteriormente, haciendo una verdadera sonrisa es muy difícil falsificar si no son realmente sentirse feliz, pero si usted puede traer a la memoria la emoción que sentía que sus músculos se recuerde y reaccionar.
Por lo tanto, aunque puede ser competente en la lectura de la emoción, usted no puede leer la razón detrás de ella. El por qué se pierde a menudo a la ciencia. Yo tenía un amigo que había algunas malas experiencias, como un niño con una persona que se asemejan a un buen amigo mío. Cuando mi amigo vendría alrededor de ella había fuertes reacciones emocionales. Si se lee su microexpression probablemente usted ver el miedo, el desprecio y la ira en su rostro.
Ella no odio mi amigo, pero odiaba a la persona en su memoria que se asemejaba a mi amigo. Este es un buen momento para recordar cuando estás aprendiendo a leer microexpressions. La expresión está vinculada a una emoción, pero la expresión no decirle por qué la emoción está siendo visualizado. Sé cuándo
Empecé a aprender sobre microexpressions y luego se convirtió en algo "experto" en la lectura de algunas expresiones, me sentí como un lector de la mente. Aunque esto está lejos de la verdad, la precaución es no ser assumptive. Puede ser muy bueno en la lectura microexpressions; sin embargo, posteriormente secciones discuten cómo combinar esta habilidad con tácticas de interrogación, habilidades de lenguaje corporal, y la obtención de competencias no sólo para averiguar qué metas están pensando, sino también para guiarlos por el camino que desee.
La cuestión que usted todavía puede tener es, "¿Cómo puedo utilizar estas habilidades como un ingeniero social?". Cómo utilizar los ingenieros sociales Microexpressions Toda esta sección lleva a este: tan fascinante como la investigación, es tan sorprendente como la ciencia está detrás de esta psicología, ¿cómo puede utilizar microexpressions en un ingeniero social auditoría y cómo los ingenieros sociales malintencionados utilizan? Esta sección describe dos métodos de cómo utilizar microexpressions en ingeniería social. El primer método consiste en utilizar microexpressions (ME) para elicitar o provocar una emoción, y el segundo método es la forma de detectar el engaño. Permítanme comenzar con el primer método, usando su propio yo para provocar una respuesta emocional en los demás. Recientemente he leído un artículo de investigación que cambió mi visión de mí mismo y me abrió los ojos a una nueva área de investigación. Los investigadores Wen Li, Richard E. Zinbarg, Stephan G. Boehm, y Ken A. Paller realiza un estudio denominado "Neural y pruebas de comportamiento afectivo de cebado Emocional Percibida inconscientemente las expresiones faciales y la influencia de la ansiedad rasgo" que cambia la cara de microexpression uso en la ciencia moderna. Los investigadores conectado docenas de mini-ECG con músculo puntos sobre sus súbditos las caras. Los dispositivos podría registrar cualquier movimiento muscular en su rostro y en la cabeza. Entonces ellos
vídeos reproducidos por ellos que tenían un vigésimo quinto segundo destellos de microexpressions en marcos. Li et al., encontró que en casi todos los casos el movimiento muscular del sujeto comenzaría a reflejar lo que estaba implícito en el vídeo. Si fue el miedo o la tristeza, los músculos faciales del sujeto registraría esas emociones. Cuando fueron entrevistados
Acerca de la emoción que el tema era la sensación de que fuese la emoción incrustados en el vídeo. Para mí, esta innovadora investigación demuestra que una persona puede manipular a otra persona a un determinado estado emocional mostrando sutiles toques de esa emoción. He empezado a realizar algunas investigaciones en esto desde un ángulo de seguridad y estoy llamando "neurolinguistic hacking", principalmente porque se tarda mucho en microexpressions así como programación neurolinguistic (discutidos en la sección siguiente) y los combina para crear estos estados emocionales dentro de un destino. Imagine este escenario. Un ingeniero social quiere caminar a una compañía con la meta de conseguir la recepcionista para insertar una llave USB malintencionado en el equipo. Su pretexto es que él tiene una reunión con el director de recursos humanos, pero en el camino, él vierte café en su última reanudar. Que realmente necesita este trabajo y para ayudar, ella le imprima otra copia del curriculum vitae?
Este es un buen pretexto que los remolcadores en el heartstrings del recepcionista y ha trabajado para mí en el pasado. Sin embargo, si el ingeniero social permite a su propio estado emocional desenfrenadamente él podría estar mostrando señales de temor, que está vinculado al nerviosismo. Ese temor se puede traducir en una sensación de intranquilidad en el recepcionista y el fracaso o el rechazo de la solicitud. Mientras que si él fuera a controlar sus emociones y flash sutiles toques de triste microexpressions, que está estrechamente vinculado a la empatía, entonces podría tener una muy buena oportunidad en su solicitud de que se cumplan. Recordar la discusión anterior de los anuncios que alientan a las personas a donar "sólo un dólar al día" para alimentar a un niño necesitado. Antes de pedir dinero, antes de parpadear un número de teléfono y URL, antes de decirle a usted que las tarjetas de crédito son aceptadas, muchas imágenes de niños muy triste parpadear en la pantalla del televisor. Las imágenes de los niños necesitados y los niños en el dolor ponga su cerebro en el estado emocional que es necesaria para cumplir con la solicitud. Hacer esos comerciales trabajan en todo el mundo? No, por supuesto que
no. Pero aunque no todos dona, que afectará a casi todos del estado emocional. Así es cómo un ingeniero social puede utilizarme al máximo. Aprender a exhibir los sutiles matices de estos ME puede provocar que las neuronas en el cerebro del destino para reflejar el estado emocional que sientes que estás viendo, haciendo su destino
Más dispuestas a cumplir con su solicitud. Este uso de mí puede ser malicioso, así que quiero tomar un momento para hablar acerca de la mitigación (véase también el capítulo 9). Ser consciente de cómo me puede ser usado no significa que usted necesita para empezar a capacitar a todos en su empresa para ser un experto en mí. Lo que significa es que la buena de concienciación en materia de seguridad no debe ocurrir. Aun cuando las solicitudes están diseñadas para hacer que el deseo de ayudar, el deseo de ahorrar, deseo de nutrir, la política de seguridad debe tener prioridad. Un simple "lo siento, no podemos insertar llaves USB externa en nuestros ordenadores. Pero dos kilómetros por la carretera es un FedEx Kinko's shop. Puede imprimir otro reanudar allí. Debo decirle a la Sra. Smith usted será unos minutos tarde?". En este escenario, esa declaración habría aplastado los planes del ingeniero social, así como el destino dado la sensación de ser útil.
Para utilizar el poder de mí, a veces tienes que combinarlo con otros aspectos del comportamiento humano. El segundo método, cómo detectar engaños, describe cómo se puede hacer esto. El segundo método para usarme como un ingeniero social está en detectar el engaño. ¿No sería agradable si usted podría hacer una pregunta y saber si la respuesta era verdad o no? Este tema ha sido motivo de un acalorado debate entre los numerosos profesionales que afirman que los patrones de los ojos, el lenguaje corporal, la expresión facial, o una combinación de todo lo anterior puede indicar la verdad o el engaño. Mientras que algunos no creen que este sea el caso, otros sienten estos pueden ser utilizados como una ciencia exacta.
Aunque puede existir algo de verdad en cada uno de estos pensamientos, ¿cómo puede usar microexpressions para detectar el engaño? Para responder a esta pregunta debe tener en cuenta algo más que microexpressions porque, como identificados a lo largo de esta sección, microexpressions se basan en las emociones y las reacciones a las emociones. Mantenga esto en mente mientras lee esta sección, que analiza algunas de
las causas y efectos. Cuatro cosas pueden ayudarle a detectar el engaño en un destino: Las contradicciones Vacilación
Cambios en el comportamiento Los gestos de la mano Las siguientes secciones describen estos temas con más detalle. Las contradicciones Las contradicciones están particularmente difícil porque a menudo pueden ocurrir y de hecho ocurren hechos en las cuentas. Sé que en mi caso me suele olvidar detalles, y mi esposa va a rellenar rápidamente. Después de recibir una pequeña sugerencia aquí o allí a menudo me puede recordar la historia completa. Esto no significa que siempre estoy mintiendo al comienzo de un cuento o una conversación, pero no siempre me recordar todos los detalles con suficiente claridad como para comentarlos en primera, o CREO QUE NO RECUERDO LOS DETALLES, pero realmente no me. Incluso después de que me "recuerda" los detalles, los detalles pueden ser mi versión de la realidad y no en la forma en la historia que sucedió realmente. Esto inadvertidamente la deshonestidad es importante considerar al evaluar las contradicciones como pista a mentir. ¡qué contradicción debería hacer es pedirle que cavar más. Viendo la persona microexpressions mientras se le interroga sobre una contradicción también es útil. Por ejemplo, supongamos que usted ha desarrollado un pretexto como visitante vendedor. Usted va a intentar obtener acceso físico al CEO para entregar un CD con una oferta especial. Usted sabe el CEO es muy parcial a una cierta caridad, por lo que desarrolló el pretexto de todo eso. Como usted entra en el vestíbulo, la recepción persona dice, "Lo siento, no se puede simplemente dejar que conmigo". Usted sabe que si deja el CD una mayor probabilidad existe de que su CD "malicioso" nunca serán usados. También puede sentirse porque usted ve su coche en el aparcamiento y usted sabe hoy fue un día normal de trabajo para él. Con estos hechos en mente y sin querer para avergonzar a la persona del mostrador que dicen, "Oh, él es realmente no? El otro día me llamó y me preguntó si podía visitar y me dijeron que hoy era un buen día. ¿Puedo mezclar mis días?".
Si usted ha jugado sus cartas a la derecha y sus expresiones son verdaderas, esto puede terminar de dos maneras: Ella puede mantener estable y decir, "Lo siento, no lo es". Ella puede contradecir a sí mismo (el cual puede ser un indicio de que ella no está siendo veraz): "Permítame verificar si es o no".
¿Qué? Ella pasó de un stern "no es" a "Déjeme comprobar." esa contradicción es suficiente para indicar que debe cavar más. ¿Cuál fue su conmigo cuando ella hizo eso? Hizo mostrar vergüenza o quizás cierta tristeza mintiendo? Estaba enojado por quedar atrapado en una mentira? Ella estaba avergonzada que estaba equivocada y puede confundir? No se puede asumir automáticamente está mintiendo, porque quizás ella realmente no sabía, y cuando le refutó ella decidió averiguar realmente. Después de que ella se confirma si él puede elegir a cavar un poco más profundo y más sonda para determinar la veracidad, si es necesario. Otra vez, jugando su tarjeta de "Tal vez mezclé mis días" y mirando las expresiones faciales pueden ser un buen indicador de su veracidad o no.
Si en la primera ronda se vio cualquier insinuación de ira, continuando a preguntar puede hacer que ella sea más enojado y avergonzado y finalice su interacción. En este punto, puede que desee preguntar algo como, "Si el Sr. Smith no está ahora mismo y realmente me mezclaron mis días u horas, cuando puedo pasar a verlo? ¿A qué hora es la mejor?". Este tipo de preguntas le permite salvar la cara, así como le da otra oportunidad de leer algunas de las expresiones faciales. Si no te has dado cuenta de la ira, pero tal vez vio ella parecía un poco triste o por vergüenza, entonces es posible que desee responder con empatía y comprensión para abrir su muerte. "Yo podría haber jurado que dijo que hoy era un buen momento para dejarlo, pero como ustedes saben, mi memoria es tan mala, mi esposa me dice que estoy recibiendo, la enfermedad de Alzheimer. He comprado uno de estos teléfonos inteligentes, pero seré darned si puedo averiguarlo. Yo no quiero ser una molestia, pero cuando tengo que soltar esta fuera de él? Quiero para asegurarse de que obtiene la derecha en sus manos".
Ser muy cumplidora de contradicciones leves como pueden ser los indicadores clave en el engaño y ayudarle a conseguir su pie en la puerta.
Vacilación Al igual que la contradicción, puede usar alguien la vacilación para detectar una posible falsedad. Si usted hace una pregunta y la respuesta debía haber llegado rápidamente a la persona, pero él duda de antemano, puede ser una indicación de que él estaba usando el tiempo inventar una respuesta.
Por ejemplo, cuando mi esposa me pregunta cuánto mi nuevo gadget electrónicos costos, ella sabe que yo sé la respuesta. Una vacilación puede significar que estoy evaluando si quiero contestar con sinceridad o yo podría ser simplemente recordando el precio. Cuando me llega un informe de progreso de la escuela de mi hijo que dice que X número de días perdidos en la escuela y sólo sé sobre dos o tres ausencias válida, le pregunto donde el resto de estos días son perdidas. Si su respuesta fue: "Papá, ¿te acuerdas que tenía cita médica y entonces usted me mantuvieron en la casa ese día para ayudarle con ese proyecto?" Lo más probable es que está llena de verdad, porque fue rápido y tiene hechos en la respuesta. Sin embargo, si él vacila y regresa con "Wow, no sé, tal vez el informe es erróneo", a continuación, observando su microexpression durante su respuesta es una buena idea. ¿Se indican la ira, quizás al ser capturados, o tristeza al imaginar el castigo? De cualquier manera, es tiempo para mí para investigar más y averiguar dónde estaba en esos días. Otra cosa a tener en cuenta es una conocida táctica de vacilación repitiendo la pregunta a usted como si solicita la verificación de que la pregunta es correcta. Esto permite tiempo para inventar una respuesta. El uso de la vacilación para detectar el engaño no es una ciencia exacta, pero puede ser un buen indicador. Algunas personas sólo pensar antes de hablar. Soy de Nueva York, por lo tanto, hablo rápido. Si alguien habla más lento que yo no es un indicio de engaño. Usted debe ser capaz de utilizar el ME para determinar si alguien es lento en el habla o tratando de fabricar una respuesta.
Si la emoción no coincide con la pregunta entonces valdría la pena examinar. Cambios en el comportamiento Durante una discusión, el destino puede cambiar su comportamiento cada vez que un determinado tema es llevado hacia arriba. Quizás usted note un cambio de expresión o un cambio en la forma en la que él se sienta, o una marcada vacilación. Todas estas acciones pueden indicar el engaño. Si estas acciones
ascienden a engaño no es cierta, pero deberían provocar que explorar más sobre los temas que están siendo discutidos en una manera que no se sospecha de alerta. Estos comportamientos pueden ser señales de que la persona está usando el tiempo
Los retrasos para generar una historia, recordar los hechos, o decidir si quiere revelar los hechos. Los gestos de la mano La gente suele pintar cuadros con sus manos mediante gestos. Por ejemplo, alguien puede utilizar sus manos para mostrar cómo es algo grande, algo no iba tan rápido, o para mostrar cómo muchas veces algo se dice. Muchos profesionales consideran que cuando alguien es mentiroso va a tocar o frotar su cara con frecuencia. Algunos existe conexión psicológica entre frotarse la cara y generando una invención. Algunas de las referencias utilizadas por los psicólogos y los expertos en el lenguaje corporal para detectar engaños son discutidos h e r e : Www.examiner.com/mental-health-in-new-orleans/detecting-deceptionusing-body-language-and-verbal-cues-to-detect-lies . Tomando nota de un cambio en el tamaño, frecuencia o duración de los gestos de la mano durante una conversación es importante. Además, usted debe ver las expresiones faciales durante los gestos que puede levantar una bandera en su mente. Cuando se detecte el engaño, tener un plan de cómo responder es importante y una buena idea. En el escenario anterior con la persona de recepción y su "out-of-the-office" boss, llamándola en su mentira probablemente habría levantado todo tipo de banderas rojas, embarazoso ella y arruinando cualquier posibilidad de éxito. Si el pretexto es alguien con autoridad, como un gerente o supervisor del departamento, y puedes coger a alguien en una mentira puede usar esto para su ventaja. Por "perdonar" a la persona que se adeudan un favor a cambio. Pero en el mismo escenario, si usted está en la posición inferior (alguien en una posición no gestión tales como secretaria, recepcionista, o posición de ventas) que el objetivo, tocar esa tarjeta puede ser peligroso. La acción de las autoridades no encajaría el pretexto de alguien en una posición no gestión.
Lo que se reduce a simplemente es que como un ingeniero social auditor debe aprender a utilizar una persona microexpressions para determinar si él es presentar la verdad o mentira y para determinar si están afectando a la meta de la manera que usted desea. En algunos casos
puede incluso utilizar ciertas expresiones para manipular al objetivo en un determinado estado de ánimo. Recuerde, microexpressions por sí solos no son suficientes para determinar por qué una
La emoción está ocurriendo. La determinación de que alguien que está enojado o triste, por ejemplo, no decirle por qué esa persona está enojado o triste. Tenga cuidado al usar microexpressions tomar en consideración todos los factores para determinar, en la medida de lo posible, la razón de la emoción. Los ingenieros sociales malintencionados emplean estas tácticas de uso microexpressions discutidos en esta sección, pero sus objetivos son completamente diferentes de los de un ingeniero social haciendo una auditoría. A menudo no se preocupan por el efecto residual sobre el destino. En caso de dañar el sistema de creencias de una persona, la estabilidad psicológica, o incluso la estabilidad laboral puede provocar el ingeniero social malicioso a un payday él tomará ese camino. Anteriormente en este libro que leer acerca de algunas estafas que surgieron durante los ataques en la Ciudad de Nueva York después del 11 de septiembre. Las personas que vieron una oportunidad para sacar provecho de la compasión de la gente y la tragedia que ocurrió no pareció importarles si sus acciones lastimar. Muchos salieron de las sombras afirmando que tienen familiares que se perdieron en los ataques. Algunas de estas personas maliciosas recibió dinero, regalos, simpatía, e incluso la atención de los medios de comunicación sólo para ser descubierto por la carretera que las historias eran falsas cuentas.
El ingeniero social malicioso gasta un montón de tiempo a aprender sobre las personas y lo que les hace de garrapata. Este conocimiento permite localizar un destino aceptable para atacar más fácil. Esta sección sólo arañado la superficie de microexpressions; el trabajo de muchos profesionales en el campo se ha llenado de volúmenes. Buscar formación, dominen la lectura y el uso microexpressions y verá un incremento en sus habilidades de comunicación con los demás. Además, esta habilidad mejorará su capacidad para tener éxito en sus auditorías.
Neurolinguistic Programming (NLP) Neurolinguistic programming (NLP) estudia la estructura de cómo los seres
humanos piensan y experimentar el mundo. Es un tema muy controvertido en sí mismo, porque la estructura de la PNL no se presta a fórmulas estadísticas precisas. Muchos científicos se sostienen o debatir los principios de la PNL debido a este hecho, pero la estructura conduce a modelos de cómo los principios. A partir de estos
Modelos, técnicas para la rápida y eficaz cambiar pensamientos, comportamientos y creencias que limitan la gente han sido desarrollados. Como se indica en Wikipedia (fuente: Diccionario de Inglés de Oxford ), programación neurolinguistic es "un modelo de comunicación interpersonal aborda principalmente la relación entre el éxito de las pautas de comportamiento y las experiencias subjetivas (especialmente modelos de pensamiento) subyacentes a ellos", y "un sistema de terapia alternativa basada en esta encaminada a educar a la gente en la auto-conciencia y la comunicación efectiva, y cambiar sus patrones de comportamiento mental y emocional".
Este libro está lejos de ser un libro de auto ayuda, de modo que, aunque los principios en que puede ayudar a cambiar los patrones de pensamiento profundamente arraigados y los hábitos en sí mismo, se centra en la manera en que puede usar la PNL para comprender y manipular a los que le rodean. Si no está familiarizado con la PNL su primer instinto puede ser ejecutar en un ordenador y escriba el término en Google. Quiero pedirles que no hacerlo aún. Usted encontrará que es similar a la ingeniería social, lo que a menudo encontrará primero son muchos videos y demostraciones que parecen muy poco realistas, como vídeos de alguien tocando el hombro de la otra persona y cambiando los patrones cerebrales de esa persona para pensar es marrón o blanco somesuch. Estos vídeos hacer NLP para ser alguna forma de misticismo, y para aquellos que desconfían de estas cosas, estos tipos de vídeos desacreditarlo. En su lugar las siguientes secciones romper NLP en algunas partes. Subir Siguiente es una muy breve historia de la PNL, que puede ayudarle a comprender que sus raíces no están con los magos de la calle; en su lugar, tiene profundas raíces psicológicas.
La historia de la programación Neurolinguistic Neurolinguistic programming (NLP) fue desarrollado en 1970 por Richard Bandler y John Grinder con la dirección de Gregory Bateson. Sus raíces procedían de Bandler y Grinder, en su
investigación sobre algunos de los terapeutas más exitosos de su tiempo. En esta etapa inicial de la investigación se desarrolló el "código" conceptos de NLP. Esta primera investigación condujo al desarrollo de un meta-modelo, que reconoce el uso de los patrones del lenguaje para influir en los cambios.
Tanto Bandler y Grinder eran estudiantes en la Universidad de California y utilizado los principios de sus investigaciones para desarrollar una terapia modelo llamado el meta-modelo. Después de escribir unos cuantos libros sobre la base de este modelo comenzaron a perfeccionar los principios fundamentales en los que se convertiría en lo que llamamos hoy la PNL. Esto incluye cosas como anclaje, swish pattern, reformulando, cambio de creencias, la anidación de bucles, estados de encadenamiento y submodalities aplicaciones. Después de graduarse con grados en psicología, Bandler y Grinder comenzaron a organizar seminarios y grupos de prácticas, que sirven como lugares para practicar y probar sus patrones recién descubierto a la vez que les permite transferir los conocimientos a los participantes. Durante este período, un grupo creativo de estudiantes y psicoterapeutas que formaron alrededor de Grinder y Bandler hizo valiosas aportaciones a la PNL, PNL contribuyen a perfeccionar aún más. En los últimos años, la PNL se convirtió en la nueva palabra de moda nuevamente para gerentes, impulsando el crecimiento rápido de instructores, clases y expertos. Sin ningún cuerpo de regulación, el campo creció como todos querían aprender a controlar a otros, la mentira sin ser atrapado, o resolver todos sus problemas psicológicos. Practicantes no estaban autorizados, de modo que cada grupo le enseñó a su propia forma y concepto de NLP y emitió su propia certificación como expertos. Todo esto es lo que llevó a la PNL ve algo desfavorable.
A pesar de su historia de Rocky, el núcleo de la fundación de la PNL puede mejorar sus habilidades como un ingeniero social. La sección siguiente describe algunos de los principales códigos de NLP para poder analizarlos más profundamente.
Los códigos de programación Neurolinguistic En los tempranos 1970s NLP había un código compuesto por el cuerpo colectivo de aprendizaje e investigación que generó los primeros libros y el término programación neurolinguistic . A medida que pasaba el tiempo John Grinder y otros han seguido contribuyendo
al campo de la PNL. "El nuevo código de la PNL" es un marco estético y ético para el desarrollo de la PNL.
Nuevo código de la PNL Ideas originales del NLP nacieron en la década de 1970. A medida que pasaba el tiempo, John Grinder empezaron a darse cuenta de que gran parte del antiguo código debe cambiar para ser llevados a
Los tiempos modernos. Comenzó a trabajar con Gregory Bateson y Judith DeLozier y produjo el "nuevo código" que se centró más en lo que la persona piensa o cree que va a suceder y cambiar esa creencia. Aprendizaje de técnicas para ampliar sus percepciones, la superación de viejos patrones de pensamiento y hábitos cambiantes toda ayuda en el auto-cambio. El nuevo código se centra en los conceptos clave de los estados , consciente o inconsciente y perceptuales relaciones , filtros , todas estas apuntando a los estados de su mente y su percepción de los estados mentales. Estos nuevos conceptos están diseñados para mover NLP hacia adelante y ayudar a los practicantes a pensar en nuevas formas. Muchos de los principios básicos del nuevo código se enseña ahora como parte de la PNL cursos estándar. Este nuevo código se entiende mejor leyendo las tortugas todo el camino abajo por Grinder y DeLozier. Es compilado a partir de su seminario "Requisitos previos al genio Personal". En esencia, el nuevo Código establece que para realizar un cambio el cliente debe implicar su mente inconsciente, el nuevo comportamiento debe satisfacer su intención positiva, original y el cambio debe ocurrir internamente en el estado de ánimo en lugar de en el nivel de comportamiento. Este nuevo código sugiere cómo la PNL puede crear graves y drásticos cambios en el pensamiento de una persona.
Este es un concepto clave para los ingenieros sociales porque, como usted investigar y analizar el nuevo código, usted comenzará a ver cómo puede ser utilizada para manipular a otros. Antes de hacerlo, sin embargo, usted necesita entender los scripts que usa el nuevo código.
En el nuevo código de scripts Las personas tienden a tener problemas comunes, para que los grupos de secuencias de comandos se han desarrollado para ayudar a los terapeutas emplean NLP en su práctica. Estos scripts llevan al participante a través de una serie de pensamientos que ayudan a guiar a la persona hacia el fin deseado. Varios buenos libros sobre PNL scripts existentes, con el gran
libro de NLP Técnicas: 200+ Patrones y estrategias de programación neuro lingüístico está altamente recomendado. Un ejemplo de una secuencia de comandos es un esbozo de cómo aumentar sus ventas por conseguir que alguien empieza a hablar de sus sueños. Una vez que los haya
Hablando de ciertos objetivos o aspiraciones, puede afirmar que su producto o servicio como contestar a una de las necesidades para alcanzar esos objetivos. Por construir positivamente sobre su producto como apenas tienen una necesidad, le dará a su venta potencial del cerebro de una manera de conectar el producto con resultados positivos en las ventas. Si usted toma tiempo para Google mucha de la información que se incluye aquí verá que la PNL puede tomar vida propia. Usted puede tener muchos ángulos y rutas de acceso al estudio de la PNL. A pesar de toda la plétora de información sigue la pregunta, ¿cómo puede un ingeniero social utilice NLP?
Cómo utilizar la PNL como un Ingeniero social Muchos de los scripts y los principios de la PNL tienden a inclinarse hacia la hipnosis y vías similares. Aunque usted no va a utilizar la hipnosis para el ingeniero social un destino, puede utilizar muchos de los principios de la PNL como un ingeniero social. Por ejemplo, la PNL puede enseñarle cómo usar su voz, el idioma, y la elección de las palabras para guiar a la gente hacia el camino que desee.
Voz en PNL Usted puede usar su voz para inyectar comandos en gente como usted usaría código para inyectar comandos en una base de datos SQL. La forma en que se dicen las cosas es donde se produce la inyección; este momento único de la inyección se enmarca dentro de conversación habitual. A veces, cómo puede decir algo más importante de lo que usted dice. NLP promueve el uso de comandos incrustados para influir en un destino a pensar de una cierta manera o tome una acción determinada. Asimismo, el uso de los tonos de su voz para resaltar ciertas palabras en una frase puede causar que una persona inconsciente a centrarse en aquellas palabras. Por ejemplo:
Por ejemplo, pregunte, "no está de acuerdo?" En lugar de poner un
auge de la palabra "acuerdo", como lo haría normalmente al final de una pregunta, ponga una contractiva para hacer la pregunta más de un comando. Otro que he escuchado es usado efectivamente, "Mis clientes normalmente hacer las cosas que me dicen. ¿Desea empezar?" La forma en que se utiliza la sentencia y rodeado por otras declaraciones pueden hacer de esta una muy dominante
Declaración. Más sobre esto en la siguiente sección, pero esta habilidad solo puede cambiar la manera de interactuar con los demás; los principios que se consagran en PNL.
Estructura de la oración En inglés, el sonido de la voz de la persona al final de la frase indica si lo que dice es una pregunta, una instrucción o comando. La voz de una persona sube al final de una frase para preguntas. La voz sigue siendo la misma hasta el final de la frase en las declaraciones, y la voz desciende a la oración cerrar para los comandos.
En los próximos párrafos, la fuente negrita denota para bajar (profundizar) el tono de voz. Pruebe este ejercicio: Cuando usted hace una pregunta como, "es que tu perro?" su tono de voz se eleva al final de esa oración. Sin embargo, usted puede incrustar comandos sutiles en frases simplemente cambiando a un punto hacia abajo durante la oración, no al final. Aquí están unos pocos comandos sencillos para que practiques. Observe cómo el comando han inyectado dentro de la frase. "Recuerdo cómo limpiar su habitación miraba la pasada Navidad?" El comando incrustado es "limpia tu habitación", que incluye un cambio de tiempo a un tiempo más feliz. Este es un ejemplo de un agradable, inyección indolora.
" Compre ahora , puede ver los beneficios !" comienza con la voz baja, entonces hasta un tono normal, y luego de vuelta hacia abajo para prestaciones . "Cuanto mayor sea mi empresa va en la consultoría, el más agradable a la gente como usted que encontramos." implantar la mayor mi empresa con un agradable comentario acaba de aumentar
su probabilidad de ser contratado, en parte porque el juego de palabras ( sonidos superiores como coches -lo que el oyente escucha es contratar mi empresa ). Desde un punto de vista de la ingeniería social puede formar frases cuando la realización de una auditoría sobre el teléfono para maximizar las posibilidades de éxito,
Tales como: "Este es Larry desde tech support; estamos dando a todos los representantes de nuevas contraseñas.
Su nueva contraseña es…" Los siguientes son consejos para el uso de la voz en el éxito de la ingeniería social: La práctica. Tienes que practicar hablando de esta manera para que no suene como un adolescente entrando en la pubertad. Sus tonos ascendentes y descendentes no hay sonido conservas; deben ser sutiles. Tener cuidado de estructura de la oración. Desarrollar sentencias que maximizar su capacidad para realizar sus tareas. No van a matar, por así decirlo. Un comando como "me dan acceso a su sala de servidores ahora" es probablemente no va a funcionar, pero puede utilizar estas técnicas de voz para contribuir a un objetivo más abierto a la idea. Ser realistas. No esperes para hablar y que la gente caiga a tus pies para hacer lo que pides. Estas técnicas pueden poner su destino en un estado de ánimo que hará más fácil conseguir lo que quieres.
Una técnica, Ultimate voz, si domina, tiene efectos muy poderosos. Yo una vez entrevistó a un practicante de la PNL en un podcast que tenía este don. Cuando hablaba era como si no podía discutir con él. Él habló con tal control y técnica que desacuerdo nunca ni siquiera entró en mi mente. ¿Cómo puede uno dominar esta técnica?
Utilizando lo último en Ingeniería Social de Voz Puede dominar la voz definitiva pero toma mucha práctica. La posibilidad de incrustar comandos en una conversación normal es una habilidad que es muy útil cuando se dominen. Ultimate voice es la posibilidad de inyectar comandos en la mente de las personas sin su conocimiento. Puede sonar muy artificial cuando gente nueva de intentarlo, hasta que haya suficiente práctica hace que suenen naturales.
Hipnotizadores suelen utilizar esta técnica de la siguiente
manera: "puedes sentirte relajado como usted deslizarse en calma " . Esta terapia estándar frase puede adaptarse a casi cualquier comando que le gusta. Ponga un énfasis especial en las vocales en las palabras que desea acentuar, por ejemplo, "yooouurseeelf reelaaxiing".
Planeta www.planetnlp.com/ NLP ( ) ofrece tres ejercicios que usted puede usar para trabajar en el dominio de esta técnica. 1. Mover alrededor de su voz. Presione su mano sobre su nariz y decir "nariz". Concentrarse en su nariz como usted repite la palabra hasta que pueda sentir tu nariz vibra. Ahora hacer el mismo ejercicio con la mano en su garganta, diciendo "garganta". Haga lo mismo en su pecho, diciendo "pecho". seguir practicando hasta que usted realmente puede sentir la vibración en cada lugar. Observe cómo diferentes cada uno de los sonidos.
2.Utilice su rango. A partir de una nota alta, diga "ar" (como en el caso de la letra r ) que mantenga su boca abierta, permiten la nota para descender hasta que la respiración se agota.
Repetir este ejercicio diez veces. Luego, a partir de una nota baja, decir "ou" (como en el caso de que sin la y la ), permitiendo la nota a subir hasta que no admite el sonido.
Repetir este ejercicio diez veces. 3. Resuenan. Usar la voz correctamente, debe resonar en la máscara facial , que es la zona que rodea la nariz y la boca.
Hay dos maneras de practicar resonando: Zumbido en cualquier tono es más cómodo para usted. Después de haber encontrado tu tono luego tararear "umm" seguida inmediatamente por la palabra "Listo". Haz esto varias veces y, a continuación, pruebe las palabras "ahora", "uno", "dos", "tres". Hum y luego permitir que sus labios a vibrar. Usted está tratando de sonar como una paloma. Permitir el paso de subida y bajada. Esto es muy difícil si tienes alguna tensión en la mandíbula o cara. Hecho correctamente durante unos pocos minutos, tu cara empezará a sentirse entumecido. Después de un par de minutos usando estos métodos, debe tener en cuenta que su voz suena más nítida. Si le resulta difícil
notar, grábese y escuche para ver cómo suena.
La mejor manera de mejorar es pasar unos cinco minutos al día a través de estos ejercicios. La práctica puede ayudarle a aprender a controlar esta técnica vocal. Por ejemplo, Soy generalmente una persona fuerte. Parece que no tengo la capacidad de susurro.
Para mí para controlar mis tonos, tono y volumen, necesito práctica. Haciendo ejercicios de voz sencillos como estos pueden ayudarle a controlar estas características de voz.
Cuando hablas de una frase en la que desea incluir un comando oculto, y desea bajar el tono, siendo tan sutil que el destino no se dan cuenta de que es imprescindible. De lo contrario, se le avisará que el subconsciente de la persona para provocar que algo anda mal. Si esto ocurre se pueden recoger en sus intentos cerrando así su éxito.
Como la mayoría de cosas en la ingeniería social, si una técnica no viene naturalmente, la práctica es esencial. Pruebe esta técnica de voz en su familia y amigos, antes de que nunca lo intentan en una auditoría.
Desde su experiencia personal, cuando empecé a trabajar en las últimas técnicas de voz he decidido mi objetivo era incrustar comandos en preguntas. Este objetivo tuvo un tiempo en darse cuenta pero yo intentaría simplista de cosas como: "Cariño, ¿ quieres comer para la cena de esta noche, bistec o alguna otra cosa?". Para concluir esta sección, hay tres cosas a tener en cuenta un ingeniero social debería centrarse en cuando estudiaba PNL: Los tonos de voz. Como se indicó anteriormente, los tonos de su voz, así como el énfasis que ponen en ciertas palabras pueden cambiar totalmente el significado de una frase. Utilizando el tono y el énfasis, puede incrustar comandos dentro de la mente subconsciente del destino y permitir que el destino sea más abierto a sugerencias. Elija sus palabras con cuidado. Aprende a elegir las palabras que tengan el máximo impacto. Coincidir con palabras positivas con pensamientos que desea el destino a pensar positivamente y palabras negativas con aquellos que usted desea no pensar demasiado altamente. Esta técnica también puede ayudar al ingeniero social hacen un destino más
manejable.
Crear una lista de sentencias de comandos que puede utilizar en persona o por teléfono durante una auditoría de ingeniería social. Escribir y practicar las sentencias de comandos le ayudará a ser capaz de recordar y utilizarlos cuando se necesita. La mayoría de todos, la práctica. Controlar tus tonos de voz, las palabras que usted elija,
Y cómo se dicen ellos no es una tarea fácil. La práctica puede hacer que esto se convierta en una segunda naturaleza. NLP es un poderoso tema, y, como mucho, esta sección sólo microexpressions arañado la superficie. Una vez que empiece a dominar las técnicas de la PNL y la capacidad de leer las expresiones faciales, el siguiente paso lógico es el uso de estas herramientas a la hora de interactuar con un objetivo. Luego, en este capítulo se analiza la misma táctica interrogadores uso profesional.
Entrevista e interrogatorio Escenario 1: vuela la puerta abierta y el autor es notablemente nerviosos. Capitán Bad-Mood viene más y el perp agarra por el cuello y lo golpea contra la pared. Obtención de aproximadamente una pulgada de su rostro grita, "Usted me dice lo que quiero saber, de una u otra manera!".
Escenario 2: El chico malo está atado a una silla, ya magullado, desde los 30 minutos anteriores de palizas, y como el interrogador agarra un par de alicates brillante dice, "estarás hablando en ningún momento…". Escenario 3: El PERP está sentado en una silla y dos agentes de policía entran en la sala. Caminar tranquilamente a la tabla y establezca un archivo denominado "pruebas" sobre la mesa. Antes de que se sientan ellos, pregúntele: "¿necesitas un café o un refresco o algo?".
Apertura de un hielo-soda fría el primer oficial dice, "Gracias por venir hoy a ayudarnos…". Que uno de los escenarios anteriores es un interrogatorio de la vida real? Si usted adivinado la tercera, tienes razón. Es cómo un verdadero interrogatorio a menudo pasa. Los dos primeros han sido retratado en las películas de Hollywood y series de televisión tanto que muchos de nosotros podríamos pensar que son reales. Fuera de los escenarios de guerra y naciones que no prohíben el uso de la tortura, el tercer escenario más probable es la forma en que la mayoría de los interrogatorios comenzar.
Es raro que usted como un ingeniero social en una situación donde su destino está esperando en una habitación para interrogarlo. Con eso en mente, usted podría preguntar, ¿cómo puede usar la táctica de los interrogadores y entrevistadores profesionales como un ingeniero social?
Antes de continuar debes saber las diferencias entre un interrogatorio y una entrevista. La siguiente tabla presenta algunas de estas diferencias, pero este tema tiene muchos diferentes ángulos, puntos de vista y opiniones, de modo que más podía existir. Entrevista El interrogatorio Puedes hablar acerca de Tema conversaciones, usted escucha. asunto Sus declaraciones. Asunto lleva la dirección de la conversación; Aclarar sus declaraciones y escuchar, luego aplicar PNL Habilidades. No acusatoria. Suave en la naturaleza. Ubicación del sujeto, sujeto a gusto.
Usted conducir dirección. Aplicar NLP habilidades aquí. Acusatorias. Duro en la naturaleza. Sala de interrogatorios, Sujeto es tensa.
Puede recopilar información (quién, qué, cuándo, Si revelar ciertas Información, usted puede aprender Dónde, Por qué y cómo). Detalles.
Principios de investigación.
Preguntas finales Período de sesiones.
La principal diferencia entre una entrevista y un interrogatorio es que una entrevista es en un ambiente donde el objetivo es cómodo tanto física como psicológicamente, mientras que en un interrogatorio, el objetivo es ejercer alguna presión sobre el destino creando incomodidad con la ubicación o las preguntas, con el objetivo de obtener una confesión o algún conocimiento del destino posee.
Buen interrogatorio es un arte que puede dominar a través de la experiencia. Muchas técnicas de ingeniería social se vinculan a para ser un buen interrogador. Habilidades como la obtención (véase el capítulo 3); lectura de personas, caras y gestos; y tener una percepción del comportamiento humano pueden ayudarle a convertirse en un legendario interrogador.
La entrevista es una gran habilidad que tienen, pero mientras usted puede dominar el uso de obtención puede ser importante en la realización de entrevistas. Principios de interrogación son utilizados ampliamente por el éxito de los ingenieros sociales. Poner una meta en cierta incomodidad física o psicológica para realizar la recopilación de información de ellos más fácil es una habilidad de la que la mayoría de los ingenieros sociales pasan un tiempo considerable la obtención.
Tácticas de interrogación profesional Antes de realizar cualquier entrevista o interrogatorio, el ingeniero social tendrá que haber hecho acopio de información exhaustiva. Usted debe obtener toda la información sobre el destino, la compañía, la situación y los detalles de cada uno de ellos como sea posible. Usted debe saber cómo enfocar un objetivo y qué decir, y tener en cuenta la ruta que tomará con el destino. Tenga cuidado de observar su entorno, así como los cambios en el destino durante la conversación y el planteamiento inicial. Uno de los errores a las personas nuevas a la entrevista y el interrogatorio que está asumiendo cada cambio conductual tiene gran significado. Un objetivo es cruzar los brazos no significa sólo un pensamiento cerrado; también podría ser fría, tiene mal olor en las axilas, o sentir mayor estrés debido a sus preguntas.
Watch no sólo para una señal; ver para grupos de signos. Por ejemplo, un destino cruza los brazos, gira su cabeza y coloca sus pies en el piso. Esta es una persona cerrada; en otras palabras, su lenguaje corporal indica que ella va a divulgar ninguna información adicional o cooperar más-esta puerta ha sido cerrada. Un grupo de cambios es la cosa más importante para observar, así que tenga en cuenta el tema que se estaba discutiendo cuando el grupo de los cambios que se han producido.
Al iniciar una entrevista o interrogatorio aquí son áreas para observar cambios en el tema: Postura del cuerpo: vertical, se desplomó, inclinándose
hacia fuera El color de la piel: pálido, rojo, blanco, cambia la posición de la cabeza: Vertical, inclinado hacia delante/atrás, Ojos: Dirección, apertura
Manos y pies: Movimiento, posición, color Boca y labios: posición, color, girado hacia arriba/abajo Sentido primario: visual, auditivo, cinéticas, sensación Voz: el tono, la velocidad, los cambios Palabras: Corto, Largo, número de sílabas, disfunciones, pausas cambios pueden indicar una pregunta o una línea de preguntas que necesita más
Atención. Por ejemplo, si la postura del cuerpo es muy relajado cuando pregunte, "es el Sr. CEO en? Quiero dejar este paquete informativo para su revisión", y entonces la postura del cuerpo cambia a una postura defensiva-el torso hacia fuera y los ojos evitando mirar usted, puede ser un buen indicio de que hay alguna falsedad venideros y otro interrogatorio podría revelar la verdad sobre este tema. Especialmente asegúrese de prestar atención a las palabras un destino usa. Durante la entrevista o en proceso de interrogatorio, preste especial atención a la voz del sujeto y cómo ella responde a las preguntas. Cuando usted hace una pregunta, ¿cuánto tiempo tarda su respuesta? Blurting fuera respuestas rápidamente se considera un signo de practicar la respuesta. Si toma demasiado larga, tal vez estaba pensando hasta la respuesta. El tiempo de respuesta depende de cada persona, sin embargo, porque usted tiene que determinar lo que es "natural" para cada persona. La determinación de lo que es natural en un destino (es decir, la línea de base ) no es un asunto menor en un concierto de ingeniería social y debe hacerse muy rápido. Siendo muy cumplidora es la clave del éxito con esta habilidad. Un método de creación de una línea de base implica hacer preguntas que causan el sospechoso para acceder a diferentes partes de su cerebro. El interrogador pregunta preguntas sin amenazas que requieren memoria simple y preguntas que requieren el pensamiento creativo. A continuación, busque manifestación externa de su cerebro, activando el centro de memoria, como microexpressions o señales de lenguaje corporal. Otra área para escuchar los cambios en los tiempos verbales y el uso
del pronombre personal. Estos cambios del pasado al futuro tenso muestran áreas puede que desee investigar más a fondo. Tensión de conmutación puede indicar el engaño. Cuando un destino cambia tensa se pueden inventar una respuesta o el pensamiento de un pasado declaración a fabricar una respuesta. Otras preguntas pueden revelar la verdad también aquí. Otras áreas de cambio debe escuchar son: el tono de la
Voz (es subir con el estrés?) y la velocidad del habla. No tienes que aprender a hacer todo esto al mismo tiempo. La más práctica que usted recibe la escucha activa y la observación de personas más fácil resulta para ti a hacerlo sin pensar. El interrogatorio profesional se compone de un número de piezas. Las siguientes secciones describen cada uno de ellos, en el contexto de cómo se aplica a un ingeniero social. Confrontación positiva En el cumplimiento de la ley confrontación positiva no significa nada positivo y bueno; por el contrario, significa que el funcionario está diciendo el sospechoso es él quien cometió el delito; en otras palabras, el funcionario está haciendo una dura acusación. En una auditoría de ingeniería social, sin embargo, que ya han identificado el "destino" que desee y ahora va a decir (tal vez utilizando la PNL tácticas mencionado anteriormente) que destino que él hará lo que le está preguntando por él. Usted enfrentar el destino con el objetivo de comenzar a él en el camino para hacer lo que desee. Por ejemplo, un ingeniero social pueden acercarse a la recepcionista y preguntar, "es el Sr. CEO en? Tengo una reunión con él." o, para usar una confrontación positiva ángulo, "Yo estoy aquí para mi reunión con el Sr. CEO a las 11 am." Observe el segundo ejemplo estados positivamente la reunión como conjunto, esperada y de tal manera que usted está seguro de lo que está sucediendo.
Desarrollo del tema Desarrollo del tema en los interrogatorios de la policía es cuando el interrogador desarrolla una historia para postular a la razón por la que el sospechoso puede haber cometido un delito. Muchas veces esa historia se retransmite a los sospechosos durante los interrogatorios. "Así que le insultaron y le dieron tan enojado, agarró el tubo y comenzaron a golpear a su parabrisas con él." Mientras que el funcionario está contando la historia, que él o su pareja está observando el lenguaje corporal y microexpressions del sospechoso para ver si
existen indicios que constituiría el acuerdo. Aunque los ingenieros sociales pueden utilizar este método, también me gusta afirmar que desde un punto de vista de ingeniería social, desarrollo del tema debe estar viendo
El pretexto de los ojos de la meta. ¿Qué sería de un "tech support rep", "manager", o "compañeros" empleado como, digamos, y hacer? Cómo habría que actuar? Desarrollo del tema para los ingenieros sociales es cuando la evidencia que se muestra se alimenta directamente en el tema de quién eres retratar. Su enfoque hacia una meta, ya sea por teléfono o en persona, implica a menudo un pretexto de algún tipo. El pretexto, por supuesto, apoya su argumento o tema. Esta parte del interrogatorio es donde se ofrecen razones o compatibilidad con el pretexto (véase el capítulo 4 para una actualización sobre pretexting). Por ejemplo, en una auditoría mi pretexto fue muy sencillo, yo era simplemente un empleado que pertenecía. Armado con una publicación comercial que encontré en la papelera, he seguido unos pocos empleados a través de la puerta y pasado el guardia de seguridad. A medida que nos acercábamos al guardia de seguridad comencé una simple conversación con uno de los empleados acerca de un artículo en la revista. Todas mis acciones, contribuyó al desarrollo del tema. Su objetivo es dar a las personas que normalmente te detenga la justificación para no hacer su trabajo. Cuanto más se encaja en las menos que destaque, y es más sencillo para los guardias de seguridad y similares para justificar no deteniendo y permitiéndole en.
Las denegaciones de manipulación y Superación de objeciones Ya sea por teléfono o en persona, ¿qué es el plan de acción si se le niega el acceso al lugar o a la información que está buscando? A mí me gusta llamar estos topes de conversación. La gente los usa con vendedores todo el tiempo, "No me interesa." "No tengo tiempo ahora." "Yo solo estaba dejando…." cualquier sabor de tapar las metas tirar, debe tener un plan para superarla y manejar la denegación de acceso. Me gusta preventivamente cerrar
Me siento objeciones si la situación lo justifica. Cuando yo estaba en ventas, trabajé con un hombre llamado Tony, que había una táctica que involucró golpeando
una puerta y presentarse a sí mismo y sin pausa diciendo, "sé que usted podría querer decir que no están interesados, pero antes de hacerlo, puede contestar a esta pregunta: Está a cinco minutos de su tiempo vale $500?". En este punto, la persona fue mucho menos probable dicen, "no estoy interesado". Al disminuir la posibilidad de la negación y el seguimiento con una pregunta,
Tony
Fue capaz de conseguir el objetivo de pensar en otra cosa aparte de su objeción. En un compromiso de ingeniería social no se puede caminar hasta el guardia de seguridad y decir, "sé que usted no quiere que la gente extraña en la puerta, pero…" porque plantearía demasiadas sospechas. Utilizando esta metodología para superar las objeciones es mucho más compleja para los ingenieros sociales.
Tienes que pensar en lo que podría surgir objeciones y organizar tu tema, historia, vestimenta, y una persona para adelantarse a las objeciones. Pero usted todavía tiene que tener una buena respuesta que dar para cuando las objeciones. Usted no puede simplemente ejecutar fuera de la puerta, o cuelgue el teléfono. Una buena estrategia de salida le permite volver a atacar más adelante.
Una estrategia de salida puede ser tan simple como, "Bien, ma'am, siento que no me deja de ver al Sr. Smith. Sé que estará muy decepcionado porque esperaba de mí, pero voy a darle una llamada posterior y configurar otra cita". Mantener la atención del destino Si usted maneja su ingeniería social se mueven correctamente hasta este punto y usted está en frente de la meta, el destino puede comenzar a pensar acerca de lo que podría suceder si ella no permite el acceso, tome el archivo, o hacer lo que están pidiendo. Usted necesita alimentarse de ese miedo inherente y utilizarla para seguir el destino con su objetivo. Unas breves declaraciones como, "Gracias por tu ayuda. Yo estaba tan nervioso acerca de esta entrevista que yo, evidentemente, poner mal la fecha en el calendario. Espero que la Sra. HR Manager está en algún lugar más cálido que aquí?" para permitir una respuesta y luego continuar, "Quiero darles las gracias por su ayuda. Cuando ella va a estar de vuelta para que yo pueda llamar para hacer otra cita?".
Presentando una ruta alternativa Cuando están interrogando el objetivo de una auditoría de ingeniería
social, existe la posibilidad de que tu primera ruta no será saludado con sonrisas, por lo que disponer de un menor, pero sólo como vía eficaz de acción preparado es una buena idea. Quizás usted ha utilizado todas estas tácticas para intentar conseguir Sally, la recepcionista, a
Vamos a ver, el Sr. Smith. Las tácticas están fallando y que se va a apagar. Usted debe tener una ruta alternativa preparada, tales como, "Sally, aprecio que tienen para asegurarse de que las cosas se hacen solo por cita. Simplemente no estoy seguro de cuándo volveré a través de la zona. Pueden los dejo con este CD de información por el Sr. Smith y luego me pueden hacer un seguimiento con una llamada telefónica de mañana para ver si va a configurar una cita?".
Habiendo unos CDs preparados con algunos archivos PDF codificados maliciosamente puede ayudar a hacer de este camino una realidad, así como de haber practicado y luego utilizando tácticas de interrogación rápidamente. Tengo un contacto me envió un documento, titulado "entrevista e interrogatorio", que es utilizado por el Departamento de Defensa para capacitar a su personal en pasar el polígrafo. Se esbozan los diferentes enfoques que los interrogadores profesionales uso y he proporcionado aquí. Mirando estos diferentes enfoques uno puede aprender mucho acerca de los diferentes métodos que puede tener sentido para un ingeniero social.
Enfoque directo: El interrogador asume un aire de confianza en este enfoque. La actitud y la forma del interrogador descarta que el sospechoso es inocente en absoluto. Sin amenazar, el interrogador desarma el sospechoso diciéndole que nadie hubiera hecho lo mismo. Como un ingeniero social, puede utilizar este enfoque según el pretexto. Tal vez eres un consultor de gestión, u otra persona que tiene poder sobre el destino. Esto significa que debe tener un aire de confianza y asumen que el objetivo "debe" es la respuesta que usted busca.
Enfoque indirecto: el sospechoso está permitido decirle a su lado de la historia en detalle y el interrogador busca omisiones, contradicciones y distorsiones. El interrogador es el trabajo de que el sospechoso sabe que el mejor curso de acción es decir la verdad. Como un ingeniero social puede utilizar este enfoque por no acercarse al objetivo en cualquier papel, pero quizás como una evocación, una
pregunta destinada a recabar información del destino. El ingeniero social puede recopilar información del destino, haciéndole realizar la mayoría de las conversaciones. Enfoque Comprensivo: El Departamento de Defensa (DOD), el manual ofrece unos excelentes
Reflexiones sobre este enfoque. El interrogador cae su voz y habla en un tono menor, más silenciosos que da la impresión de que él es un entendimiento de la persona. Él se sienta cerca del sospechoso y tal vez pone su mano sobre el hombro del sospechoso o palmaditas de él en el brazo. El contacto físico en el momento adecuado es muy eficaz. El ingeniero social puede utilizar este enfoque en la misma manera como el interrogador. Tal vez usted enterarse de algunos empleados quejarse del jefe como usted está esperando en la puerta de la compuerta trasera. O quizás le han seguido el destino al bar local y entrar en una conversación donde puede mostrar empatía a una situación. Puede utilizar este enfoque por todas partes, y es muy eficaz.
Enfoque emocional: Este enfoque se reproduce en la moral o las emociones del sospechoso. Preguntas tales como, "¿Qué va a tu esposa o hijos piensan acerca de esto?" se utilizan en este interrogatorio táctica. Los pensamientos que se alcen trastornado emocionalmente de él y le hacen nervioso; como estas emociones se manifiestan, el interrogador puede sacar provecho de ellos. Puede utilizar este método en una forma similar a la anterior, en el que juegas en una debilidad identificada en el destino. En un combate, sabía que el destino era parcial a organizaciones benéficas para niños que sufren de cáncer. Jugando en esas emociones pude conseguir el objetivo para tomar una acción no debería haber tomado, y compromete su funcionamiento.
Enfoque lógico: Esta falta de acercamiento emocional presenta fuertes indicios de culpabilidad. El interrogador debe sentarse erectly y ser de tipo empresarial, mostrando confianza. Puede utilizar esta cuestión de hecho de planteamiento a la hora de presentar pruebas de sus razones legítimas para estar presente, por ejemplo, tales como vestidos y armados como un reparador y tener el aire de confianza que pertenece allí. Enfoque agresivo: Para un interrogador, existe una fina
línea entre la recopilación de información y violar derechos del destino que no se deben traspasar. La voz debe ser levantado, y el aspecto y la ley debe ser agresivo, pero el sospechoso tiene derechos civiles nunca deben ser violados.
El ingeniero social auditor necesita mantener en mente esta fina línea. Como en el caso de Hewlett-Packard, discutidos en el Capítulo 4, se contrató a una empresa de ingeniería social no le da derecho a romper las leyes civiles. La mayor parte del tiempo la contratación de la empresa que no tiene derecho a permitir que toque en los teléfonos particulares, leer e-mails personales o invadir la privacidad de las personas.
Método de combinación: un interrogador puede combinar dos planteamientos que tengan el máximo efecto. Esto se decidirá según la personalidad del sospechoso. Como un ingeniero social puede utilizar la misma técnica de combinar sus ataques y enfoques para el efecto máximo. Por ejemplo, después de descubrir algunos detalles personales acerca de un destino, como su favorito de la barra local usted puede acercarse a la meta e iniciar una conversación. Esa táctica, especialmente cuando trabajan en un ambiente relajado, puede ir un largo camino hacia la apertura de la gente. Enfoque indiferente: Este enfoque es muy interesante porque el interrogador actúa como si él no necesita la confesión porque el caso se resuelva. En ese punto el interrogador puede intentar manipular el sospechoso para dar a su lado de la historia. Como un ingeniero social no puede ser capaz de utilizar este enfoque, a menos que sea sorprendido. Si estás atrapado en una zona o situación no debe ser indiferente, puede actuar en lugar del miedo que son capturados. Actuando indiferente puede causar que la persona que llamó no se alarme mucho y le brindan una oportunidad para disipar cualquier inquietud. Kevin Mitnick (véase el capítulo 8 para obtener más información sobre Mitnick) era estupenda en esta técnica. Él tenía la capacidad para pensar rápidamente sobre sus pies. Además, actuando indiferente cuando se encontraba en una situación precaria le permitió salir con un montón. A salvar la cara de enfoque: El interrogador debe racionalizar el delito, dando la sospecha de una salida y una excusa para confesar y salvar la cara. Un interrogador no debería hacer la excusa tan buena, sin embargo, que el sospechoso puede usarlo en la corte
como defensa. Un ingeniero social realmente puede utilizar este enfoque. Un interrogador no quieren dar a alguien demasiado buena excusa, pero un ingeniero social. Desea que la excusa para ser tan bueno el destino no necesitan siquiera pensar antes de racionalización como excusa para cumplir con usted.
Un enfoque es decir una persona de nivel superior le preguntó a estar allí. Puede seguir este diciendo, "No puedo entender cómo se puede sentir ahora, pero no quiero imaginar cómo será el Sr. Smith molesto si no me fije que el e-mail masivo despropósito antes de que él regrese el lunes." Este enfoque da el destino la capacidad para salvar la cara y cumplir.
Enfoque egoísta: Este enfoque es todo acerca de orgullo. Para que funcione necesita un sospechoso que está muy orgulloso de un logro. Presumiendo de buen aspecto, inteligencia, o la forma en que el crimen fue realizado en mayo de golpe a su ego lo suficiente como para confesar que él quiere demostrar que, de hecho, fue que smart. En la ingeniería social conciertos este método se utiliza a menudo. Los logros de alguien jugando haciéndolos derramar sus secretos más íntimos. En el caso de los EE.UU. ingeniero nuclear en China (ver capítulo 3), los ingenieros sociales se cargó el hombre con elogios, y derramó el grano y la información divulgada no debería tener. Enfoque la exageración: Si un interrogador overexaggerates los hechos , el sospechoso puede admitir en lo real. Un ejemplo sería si un interrogador acusa a un ladrón de querer cometer violación, diciendo: ¿Por qué alguien iba a irrumpir en un dormitorio en el centro de la noche?" Esto a menudo provoca el sospechoso para admitir sólo a querer robar y no cometer violaciones. También puede utilizar este enfoque por overexaggerating la tarea que hay que realizar. Por overexaggerating la razón por la que no puede dar el destino una razón para ofrecer el menor acceso. Por ejemplo, usted puede decir, "Yo sé que el Sr. Smith me quería arreglar su equipo personalmente porque perdió una gran cantidad de datos, pero si usted no se siente cómodo con esto, me pueden solucionar su problema desde otro ordenador en la oficina". La coartada de PCP: raramente un sospechoso confiesa sus pecados de una vez por todas. Hacerle llegar a realizar pequeños ingresos, tal como lo fue en el sitio, propiedad de el arma en cuestión, o de propiedad de un coche similar, puede moverlo hacia
la admisión de más y más, llevando finalmente a una confesión completa. Tal vez usted se detiene en la puerta durante un concierto de ingeniería social y el gatekeeper se niega acceso al edificio. Vea si puede "ganancia
Acceso" mediante una línea como esta: "Tengo entendido que el Sr. Smith está ocupado y no puede reunirse conmigo. ¿Le importaría darle este CD de información acerca de nuestros productos y me hará un seguimiento con una llamada telefónica más tarde hoy o mañana?" es un menor ingreso, pero sin embargo no ganaría si usted, entonces una de las herramientas en la puerta.
El objetivo final Para prepararse para el uso de la entrevista o interrogatorio tácticas adecuadas, como un ingeniero social puede que desee contestar algunas preguntas de tu propio. Os animo a escribir estas hacia abajo en un bloc de notas porque al hacerlo puede ayudarle a prepararse para su encuentro con el destino. Además, anotando sus respuestas hace real y le ofrece un camino para trabajar durante la preparación para su interrogatorio.
Responda a estas preguntas: Quién: Con quién es el interrogatorio o el encuentro realizado? ¿Qué papel que jugar? Lista de nombres, títulos y demás información acerca de él que es pertinente para el interrogatorio. ¿Qué preparación: exactamente lo que se ha hecho y lo que va a ser su objetivo durante el interrogatorio? Usted debe tener un objetivo claro.
Al: ¿Cuál es el cronograma de los interrogatorios? ¿A qué hora del día o de la noche? ¿Cuáles son las circunstancias en el negocio que conducen a esta decisión acerca de cuándo tomar su decisión? Hay una parte que usted escuchó? Es un momento en que gran parte de los empleados están de vacaciones? Es durante la hora de almuerzo? Es durante el cambio de personal de seguridad? Dónde: ¿Cuál es la ubicación de los interrogatorios? Si vas a estar en el lugar de destino? ¿El seguimiento de la persona a su gimnasio, bar, local o a la guardería? Donde es el mejor lugar para tratar de obtener la información que necesita en el
destino? Por qué: la gente escuche esta cuestión bastante a menudo de sus niños, pero debe ser solicitado. ¿Cuál es el propósito de este interrogatorio? Para realizar el objetivo reconocer la ubicación de algo? Para hacerle dar información que no debería? Para acceder a una sala o un
Servidor? Cómo: ¿Qué métodos se utilizan en esta entrevista? NLP? comandos incrustados? Desbordamiento de búfer de humano (discutido al final de este capítulo)? Microexpressions? Por supuesto, en un interrogatorio criminal la meta es la confesión de un delito. Con los interrogatorios como un ingeniero social el objetivo es una confesión de un tipo diferente. Desea que la gente se sienta cómodo dando información, y utilizando las tácticas de interrogación discutido anteriormente puede hacer que sean más fáciles de hacer. Al final, la ingeniería social los interrogatorios deberían ser como suavizar las entrevistas. Sin embargo, un ingeniero social puede utilizar otras técnicas de entrevista y ayuda mientras utiliza tácticas de interrogación sobre un objetivo.
Gesticula Los gestos tienen una amplia variación debido al hecho de que son muy dependientes de la cultura. A diferencia microexpressions, que son universales, los gestos de los Estados Unidos realmente puede ser insultante en otras partes del mundo, o no tienen ningún significado en absoluto.
Aquí está un ejercicio que le ayudará a comprender mejor las diferencias de gestos. Si usted desea puede escribir sus respuestas a consultar en pocos minutos. Dependiendo de qué cultura eres, las respuestas serán interesantes para ver. Anote lo que usted piensa que este gesto significa y si es grosero en cada caso: 1.Sosteniendo la palma hacia arriba, apuntar a alguien con el dedo índice y le llamarán la atención. 2.Hacer un signo de "V" con los dedos índice y medio. 3.Sentarse con las suelas de los pies que muestra. 4.Hacer el símbolo de "ok" con los dedos. 5.Agitar una mano con la palma hacia afuera. 6.Asiente con la cabeza hacia arriba y hacia abajo.
Si escribió sus respuestas, compararlas con algunas de las siguientes diferencias culturales interesantes:
1. En los EE.UU. este gesto simplemente significa "Ven aquí", pero en el oriente o Lejano Oriente, Portugal, España, América Latina, Japón, Indonesia y Hong Kong, llamando a alguien de esta manera es considerado grosero o insultante. Llamando a alguien con las palmas de las manos hacia abajo y utilizando todos los dedos para llamar es más aceptable.
2. En los EE.UU. Este gesto es un "signo de paz", pero en Europa significa "victoria". Si pones la palma hacia su cara lo que realmente significa "empujón". 3.En los EE.UU. Esta es una forma cómoda de sentarse y no denotan ninguna mala intención. Sin embargo, en otros países, como Tailandia, Japón y Francia, así como a los países de Oriente Medio y Oriente Próximo, mostrando las suelas de los pies demuestra falta de respeto. Exponer los más bajos y más sucia de parte de tu cuerpo es insultante.
4.En los EE.UU. este gesto significa que todo está bien. Pero en otras partes del mundo, tiene mucho sentido diferente. En Alemania y Brasil es un gesto obsceno en Japón, que significa "dinero", y en Francia significa "inútil". 5. En los EE.UU. este es un saludo, una manera de decir hola o adiós. En Europa se puede decir "no", y en Nigeria es un grave insulto.
6.En los EE.UU. asentir con la cabeza es una manera de decir "sí." Lo mismo es cierto para muchos lugares, pero en algunas zonas, como Bulgaria o Grecia, es una manera de decir "no". Estos son sólo unos pocos ejemplos de gestos que pueden tener distintos significados en función del lugar donde se encuentre o con quien estás hablando. Conocer los diferentes significados de los gestos es importante porque la comunicación es a menudo mucho más de lo que se dice. Esta sección está destinada a mostrar que, durante una interacción con un objetivo, no sólo puede ser observado estos principios sino que también pueden ser utilizados para manipular el destino en una
ruta de menos resistencia. La comprensión de la cultura de los destinos que enfoque también le impiden realizar un gesto que puede tener resultados indeseables. Anclar
Algunos gestos pueden tener efectos poderosos cuando se usa correctamente. Algunos de estos principios provienen del estudio de la PNL, pero pueden tener una gran cantidad de energía cuando usted está tratando de establecer su destino en la mente de una ruta que controlas.
Uno de esos métodos es el anclaje , que es un método de vinculación como declaraciones de un tipo con un cierto gesto. Por ejemplo, si hablamos de un destino y él describe algo positivo y bueno, usted puede repetir mientras gesticula sólo con la mano derecha. Si es algo malo puede gesto con la mano izquierda solamente. Después de hacer este gesto varias veces empezar a "ancla" en la mente del destino que gestos con la mano derecha están vinculados a las cosas buenas. Los vendedores utilizan este método para consolidar aún más que su "producto" o "Su servicio es excelente y el competidor no es. Algunos políticos utilizan este método para anclar los pensamientos positivos o pensamientos quieren que su audiencia piense en positivo con determinados gestos. Bill Clinton fue un gran ejemplo de alguien que entiende esto. Para ver esto en acción (aunque no el ex presidente Clinton) visita Www.youtube.com/watch? v=c1v4n3LKDto&feature=player_embedded .
Mirroring Otra táctica cuando se trata de gestos se denomina reflejo , donde se intenta coincidir con sus gestos a la personalidad del destino. Por supuesto, esto no es tan fácil como parece. Pero lo que se puede discernir sobre el destino de observación? Ella es tímida? Él es fuerte y saliente? Si te acercas a una persona tímida con grandes, fuertes gestos que seguramente va a asustar a su apagado y arruinar tus posibilidades de hacer el intento de ingeniería social. Por la misma razón, si son más tímidos, necesitará espejo "más fuerte" cuando se trata de gestos "más fuerte" a la gente. La duplicación no sólo implica imitando el lenguaje corporal de un destino, sino también con los gestos que hacen que sea fácil para una persona a escuchar a usted. Usted puede tomar este principio a otro nivel. Ver gestos está
familiarizado con un destino puede ser reconfortante para él o ella. Sin embargo, usted debe lograr un delicado equilibrio, porque si tu objetivo tiene un gesto especial que parece estar utilizando mucho y se utiliza exactamente de la misma forma, se corre el riesgo de
Lo irritante. Desea reflejar con él, pero no exactamente. Si el destino termina un pensamiento colocando su mano sobre su mentón puede terminar un pensamiento colocando la mano sobre la otra parte de la cara o de levantar un dedo para tocar la barbilla un par de veces. La sección siguiente se analiza el tema de hacer gestos un poco más por discutir la importancia de la posición y la ubicación de destino de los brazos y las manos. Colocación de la mano y brazo Los funcionarios encargados de hacer cumplir la ley están entrenados para notar la colocación y la posición de los brazos y manos durante ambas entrevistas e interrogatorios. Un aumento en el movimiento o "inquieto" durante un interrogatorio puede mostrar un aumento en los niveles de estrés, significando que el interrogatorio está teniendo el efecto deseado. Por supuesto, esto es una configuración de aplicación de la ley; en una configuración de ingeniería social que velaría por que estos mismos signos, pero los signos de estrés en el destino podría indicar que necesita volver (a menos que su objetivo es destacar a él o a ella).
Algunos funcionarios encargados de hacer cumplir la ley se les enseña a prestar atención a un par de señales: Codos generalmente colgando junto al cuerpo cuando una persona está relajada. Cuando se siente amenazado o asustado la reacción natural del cuerpo es tirar los codos hacia la caja torácica. En esencia, esta posición sirve como una capa de protección a los órganos internos que pueden verse amenazados. Los gestos de la mano a menudo puede ser muy revelador, demasiado. Un destino puede describir algo con sus manos que no dicen. Por ejemplo, en el interrogatorio de sospechosos de un delito puede hacer un gesto que describe la actividad (es decir, estrangulando, disparos, puñaladas, y así sucesivamente) pero acabo de decir la palabra crimen o
incidente . Viendo que los sutiles gestos de las manos su destino puede utilizar es importante. Tomando nota de los signos que la meta se siente amenazado o asustado puede ayudarle a ajustar y volver a colocarlas en la facilidad. Cuando te acercas a un destino, se puede decir mucho con el lenguaje corporal y los gestos de la mano y brazo antes
La primera palabra es aún hablado. Otros gestos que tomar en cuenta incluyen: Una abra Palm podría indicar la sinceridad. Dedos Steepled podría indicar la persona siente autoritario.
Tocar o dar golpecitos con los dedos puede indicar ansiedad. Tocar la cara puede indicar el pensamiento; tocar el cabello puede indicar inseguridad; y tocar las orejas pueden indicar la indecisión.
Tomando nota de estos gestos en tu meta puede decirle mucho acerca de su mentalidad. Por otro lado, al realizar estos gestos pueden ayudarle a retratar uno de estas imágenes si esta es tu excusa. Desde un punto de vista de la ingeniería social aquí son algunos puntos clave acerca de los gestos, que puede ser imprescindible si eres un "gran" gesturer me gusta: Nadie debe recordar el gesto, pero sólo el mensaje adjunto. Si las personas tienden a decir: "Wow, que tío gestos un montón" necesita para calmarse un poco. El mensaje es importante, no el gesto.
Evitar la monotonía. Incluso en gestos puede ser tan soso, aburrido y repetitivo que el gesto puede ajustar la percepción del destino puede ser negativo. Estar muy preocupado por exhibir la ansiedad, como dar golpecitos o tamborileo los dedos o hacer movimientos bruscos. Dicen que el destino está nervioso y desviar la atención de su mensaje.
Demasiado es demasiado malo. Overgesturing también puede desviar la atención de su mensaje. Recuerde que el uso de expresiones faciales, gestos y posturas es un paquete completo. Todos ellos deben se mezclan, ser equilibrado, y apoyar su pretexto. Tan bueno como toda esta información es una herramienta en el arsenal de interrogatorio puede hacer o romper la manera de utilizar este conocimiento en sus habilidades de
ingeniería social. Escuchando su camino al éxito Probablemente no existe una habilidad que puede ser tan global como escuchando.
Escuchar es una parte importante de ser un ingeniero social. Lo que tienes que realizar es una gran diferencia existe entre oír y escuchar . Comúnmente se cree que las personas mantienen mucho menos del 50% de lo que oyen. Eso significa que si estás hablando con una persona durante diez minutos tendrá que recordar a sólo unos pocos minutos de lo que usted dice. Aunque las personas se ganan la vida a través de esta manera, no es aceptable para un ingeniero social. A menudo las pequeñas cosas que se dicen que pueden hacer o romper su éxito, en un esfuerzo de ingeniería social. Esta zona es donde mejorar sus habilidades de escucha masivamente viene, y no sólo escuchar lo que se dice, sino cómo se dice, cuando se dice, y con qué emoción. Todos estos factores contribuyen a la percepción de la información transmitida. Ser un buen oyente puede parecer fácil, pero cuando estás en el calor del momento, su objetivo final es acceder a la sala de servidores, y usted está escuchando una historia por unos pocos empleados para un descanso de humo que planeas siguiente en el edificio, escuchar realmente puede ser difícil. Sin embargo, es en estos tiempos es posible que desee escuchar de verdad. Quizás Susan comienza a quejarse de su gerente de RR.HH., el Sr. Jones. Ella relata una historia acerca de cómo él ha sido corta con ella últimamente, y cómo ella se alimenta con ella. A continuación, sus compañeros del fumador, Beth, dice: "Bueno, usted debe venir a el paraíso de la contabilidad. Está lleno de imbéciles, también".
Quizá esto sólo suena como el parloteo de la reclamante dos cansado y marcada de los empleados. O es más? Usted tiene tanto de sus nombres, el nombre de un administrador, los nombres de sus departamentos, y cierta idea del comportamiento general de algunos de los empleados. Esta información puede ser muy útil más adelante si necesita proporcionar la prueba de su validez por estar dentro del edificio. A menudo la manera en que alguien dice algo puede decir mucho acerca de la persona, pero aplicando esto requerirá de mucha escucha. Es la persona enojado, triste o contento? Hizo acelerar o
ralentizar en su entrega? Hizo conseguir emocional o no su emoción trail? Prestando atención a estos tipos de cosas pueden decirle mucho más que las palabras a veces.
Así que, ¿cómo puede convertirse en un gran oyente? Los siguientes pasos pueden ayudarle a perfeccionar sus destrezas de escuchar. Estos consejos
Puede ayudarle no sólo en la ingeniería social sino también en la vida, y cuando se aplica a una auditoría de ingeniería social puede hacer un mundo de diferencia. 1. Preste atención. Dar tu objetivo tu atención indebida. No toquetear el teléfono u otro gadget. No toque el tambor o los dedos. Trate de concentrarse intensamente en lo que se dice, mirando a la persona que está hablando. Hacer esto en una forma muy curioso, no en un terrorífico, "quiero a acechar a usted".
Intenta no pensar en el futuro y planificar su próxima respuesta. Si usted está planeando su próxima respuesta o refutación no estará centrado, y usted puede perder algo importante o dar la impresión de que el destino no importa. Esto puede ser muy difícil de controlar, a fin de perfeccionar esta tendencia tendrá un trabajo serio para la mayoría de la gente.
Pruebe también a no ser distraídos por factores ambientales. El ruido de fondo o a un pequeño grupo riendo de algo puede desviar su atención; no permitir que eso suceda.
Por último, preste atención a lo que el orador no está diciendo, también. El lenguaje corporal, señales faciales y otros aspectos de la comunicación debe ser "escuchado" atentamente. 2. Proporcionar la prueba de que se está escuchando. Ser abierto y acogedor, con su lenguaje corporal y las expresiones faciales. Guiño de vez en cuando, no muy a menudo, pero a menudo lo suficiente como para dejar que el destino sabe que están allí. Si no quieres parecer un bobble head doll, pero desea que el destino sabe que "con él". No olvides la importantísima sonrisa. Sonriendo puede indicar el destino que están con él mentalmente y que entienda lo que está diciendo. Como con atención antes mencionados, agrega una pequeña sonrisa cuando proceda. Si la persona está diciendo que su perro muerto, asintiendo con la cabeza y sonriendo, lo más probable es que te nada. 3. Proporcionar información valiosa. Dejar que tus creencias y
experiencias personales filtrar el mensaje en su camino es muy común. Si usted hace que usted no puede realmente "escuchar" lo que dice el hablante. Asegúrese de preguntar las preguntas pertinentes. Si ella le está diciendo sobre el cielo azul, entonces usted dice, "Entonces, ¿cómo fue el cielo azul?" no será efectiva. Sus preguntas deben demostrar que han estado escuchando activamente y tienen
Deseo adquirir una comprensión más profunda. Cada ahora y entonces la creación de reflejos o resumir lo que has oído pueden trabajar bien, demasiado. No recitar la conversación como un libro informe, pero recauchutado de algunos de los principales pensamientos pueden ayudar al objetivo ver que están en sintonía con el mensaje.
4. No interrumpir. No queda mucho por decir sobre esta sugerencia. interrumpir tu objetivo muestra una falta de preocupación por sus sentimientos y detiene el flujo de pensamientos. Dejarlo terminar y, a continuación, hablar es mejor. Sin embargo, existen circunstancias donde la interrupción puede ser útil o incluso una táctica. Si desea ver un ejemplo, ver la película Sneakers . Cuando Robert Redford está intentando acceder a una puerta cerrada que él debe estar en el meollo, él interrumpe el portero en una acalorada controversia sobre algunos elementos de entrega. Lo hace unas cuantas veces, eventualmente frustrantes al portero y causándole para desbloquear la puerta sin autorización. Si usted piensa que llegará en algún punto, interrumpiendo podría ser una buena idea. La mayoría del tiempo, sin embargo, no lo es.
5. Responder apropiadamente. Este es el pináculo de la buena o mala capacidad de escucha. Si se centraron en su refutación o la siguiente instrucción, o estabas pensando en la rubia muy atractiva que apenas caminaba, usted puede poner su pie en la boca. Yo estaba una vez la formación de un grupo de personas y les decía algunos aspectos de las tácticas de manipulación muy detallado. Yo podría decirle a dos tíos no estaban escuchando. Pongo en un pensamiento aleatorio como, "Entonces el león hornear a 350 grados durante 15 minutos hasta crujiente." El resto del grupo estalló en risas y me dirigí a uno de los dos, y díjole: ¿Qué piensa usted, Juan?" Él respondió con una mirada en blanco y un intermitente, "Um, yah, suena perfecto".
No hacer nunca a un destino. Es un golpe de muerte a la relación (que se analizan más adelante en este capítulo). Sea respetuoso, mantener tus emociones en verificar y responder apropiadamente en todo momento
cuando conversaba con un objetivo. Prestando atención, dando pruebas, retroalimentación positiva, teniendo cuidado de no interrumpir, y responder apropiadamente puede hacer o deshacer usted cuando viene a la escucha. Ellos especialmente entrar en juego durante largos contratos de ingeniería social, como cuando he tenido que interactuar con el
Señores diputados en la Cámara de Comercio encuentro social por "reunión" con él en el bar y luego hablar con él acerca de su negocio. Mucha de la informacion que estaba buscando habría sido divulgadas en conversación normal, mundano. Asegúrese de que la práctica de estos consejos en casa o en la oficina antes de que llegue el momento en que la conversación tenga lugar. Desea una buena escucha para convertirse en una segunda naturaleza como parte de su arsenal de talentos, no algo que tienes que pensar. Tus propias emociones son otro aspecto de escucha debe tomar en cuenta. Por ejemplo, me crié en una estricta, religiosas familia italiana. Me enseñaron que no desprecio la mujer, y me estremece a decirle de una vez llamé a mi mamá, un despectivo nombre. Te diré que no terminó demasiado bien para mí. Un día, muchos años después de ese incidente, yo estaba trabajando en un compromiso y estaba hablando con un chico de quien yo estaba tratando de obtener alguna información. Me acerqué a él en un escenario social y comenzamos una conversación. Él comenzó a hablar de una mujer que ha trabajado, de una manera muy inapropiada. Se plantea la forma en que fui, me encontré con un montón de ira en ebullición dentro de mí. Tuve un tiempo difícil que contiene esos sentimientos y debe haber mostrado en mi cara y en mi lenguaje corporal, lo que lleva a que el vector está fundido. En ese fracaso he aprendido una lección muy valiosa cuando se trata de la escucha durante la ingeniería social compromisos, usted debe probar su más para no dejar que los filtros integrados que se quedan en el camino.
También, recuerde que debe reaccionar ante el mensaje, no en la persona. Si usted no está de acuerdo con las creencias de una persona o st ance, que le garanticen la dignidad van a recorrer un largo camino para hacer que la persona se sienta cómodo con usted. Incluso en situaciones en las que podría no estar de acuerdo que usted puede encontrar algo que decir empática. Por ejemplo: Meta: "Este trabajo apesta. Me hacen trabajar este horrible shift y por un salario bajo, demasiado". SE: "me suena a que están abrumados por la situación aquí." Aunque puede estar pensando "esforzarse más"™, respondiendo de esta manera
Deje que el destino sabe que estaban escuchando, así como para simpatizar con su situación en la vida. Esta técnica se conoce como un reflejo de responder . Responder reflectante tiene algunos principios básicos:
Escuchar activamente, como se describió anteriormente. A la hora de responder, ser consciente de tus emociones. Sabiendo lo que siente como el destino está hablando puede ayudarle a reaccionar adecuadamente.
Repetir el contenido, no como un loro, pero en tus palabras. Inicie su respuesta con una evasiva frase como, "parece", "parece", o "Parece que." Estas frases facilidad el mensaje que está intentando entregar. Si necesita una prueba de esto, la próxima vez que entrar en una discusión con su pareja, jefe, padres, o quien diga, "Estás enojado en mí porque…" y comparar la reacción de la persona con qué usted consigue cuando usted dice "Parece que está enojado a causa de…" en su lugar. Usted verá que es llevado mejor.
Responder reflectante utilizada con la escucha activa es una fuerza mortal en la confianza y relaciones capacidades de arena. Como aprender a escuchar mejor y se convierte en parte de su naturaleza que mejorarán su capacidad para reaccionar ante el mensaje que oye. Un ingeniero social, la meta es reunir información, tener acceso a un lugar o algo que usted no debería tener acceso a, o provocar que el objetivo para tomar una acción que no debería tomar. Pensar que debe ser perfecto en la manipulación a menudo frena a la gente a aprender y practicar la gran capacidad de escucha, pero esta es la razón exacta que usted necesita para ser un buen oyente.
Considere estos dos escenarios: Uno de tus vecinos viene más y pregunta si tiene tiempo para ayudarlo con un proyecto en el garaje de su casa durante una hora aproximadamente. Este vecino tiene un perro que ha entrado en su basura unas cuantas veces y tiende a quiere utilizar el patio como un cuarto de baño. Sólo se le acerca para sentarse a relajarse al final de un largo día y ver la televisión o leer un libro. Su amigo de la infancia viene más y le dice que necesita algo de ayuda a mover algunos muebles. Él sólo consiguió
un lugar aproximadamente cinco millas de usted y él no puede conseguir el sillón de subir las escaleras. Sólo se le acerca para sentarse a relajarse un poco. Para que el escenario más probable que se dejen de lado relajado? La mayoría de las personas dejen a un lado relajante para el segundo escenario, pero vendrá con un
Excusa ni razón alguna para no ayudar en el primer escenario, o al menos intentarlo aplazarla hasta el otro día cuando no están "ocupado". ¿Por qué? La gente es muy abierta y libre con los amigos. Cuando se sienta cómodo con alguien, no tiene límites y dejen a un lado sus propios deseos y necesidades, a veces, para ayudarles a salir. Naturalmente uno confía en el mensaje que proviene de un amigo, mientras que en el extranjero se podría comenzar a doble adivinar lo que se dice, tratando de determinar si es o no veraz. En el caso de la relación con el amigo, esta conexión se denomina rapport . Durante años rapport sólo ha hablado cuando se trata de vendedores, negociadores, y similares. Rapport no es sólo para vendedores; es una herramienta que cualquiera puede usar, especialmente el ingeniero social. Si usted se está preguntando cómo construir rapport instantáneamente, entonces siga leyendo.
Edificio Rapport instantáneo Mi antiguo compañero, Tony, solía decir que la construcción de la compenetración fue más importante que la respiración. No creo que sea cierto, pero tiene un anillo de verdad en ese establecimiento de comunicación es vital. Wikipedia define la relación como, "Una de las características más importantes o las características del inconsciente de la interacción humana. Es común de perspectiva: "sync" con, o 'en la misma onda' como la persona con quien está hablando".
¿Por qué es rapport discutidas en este capítulo? Es un elemento clave en el desarrollo de una relación con cualquier persona. Sin rapport usted está en un callejón sin salida. Dentro de los principios psicológicos detrás de la ingeniería social, rapport es uno de los pilares. Antes de entrar en los aspectos de cómo utilizar rapport como un ingeniero social debe saber cómo crear una relación
de comunicación. Aumentar la confianza es una herramienta importante en el arsenal de un ingeniero social. Imagínese que usted podría hacer que gente quiere hablar con usted, quiero decir que su historia de vida, y quieren confiar en usted. ¿Has conocido a alguien así, alguien que se reunieron recientemente, pero se siente totalmente a gusto diciendo
Él o ella muy cosas personales? Muchas razones psicológicas pueden desempeñar en el porqué de ese puede ser el caso, pero el caso puede ser que usted y esa persona sólo tenía buenas relaciones. Las siguientes secciones describen los puntos importantes acerca de la construcción de la compenetración y cómo utilizar rapport en la ingeniería social. Ser auténticos acerca de querer conocer gente Cuán importantes son las personas para usted? ¿Te gusta conocer gente nueva? Es una mentalidad acerca de la vida, no es algo que se puede enseñar. El requisito indispensable para construir una buena relación es gusto de personas. La gente puede ver a través de un falso interés.
Para ser un buen ingeniero social y ser capaz de utilizar rapport, la gente necesita ser importante para usted. Debe como personas y disfrutar de interactuar con ellos. Tienes que quieren aprender acerca de la gente. La gente puede ver a través de las sonrisas falsas y falsos intereses. Desarrollar un interés genuino en su meta puede ir un largo camino hacia la construcción de una relación de comunicación.
Tenga cuidado con su apariencia No puede cambiar algunas cosas que pueden afectar su interacción con los demás. Por desgracia, la gente todavía puede mantener su color de piel, sexo, edad o contra usted antes de facilitar cualquier tipo de interacción. Usted no puede controlar esas cosas, pero usted puede controlar algunos aspectos de su apariencia, tales como ropa, olor corporal, y la limpieza, así como el contacto con los ojos, movimientos corporales y expresiones faciales. He leído un comunicado una vez que he visto demostrado verdadera demasiadas veces para ignorar: "Si una persona no se siente cómodo con él, otros no se sienten cómodos con él". Sea consciente de su pretexto y su destino. Si el pretexto es el conserje, asegúrese de que su conducta, vestimenta, actitud y palabras reflejan a alguien
en esa posición. Si el pretexto es un gerente de una empresa, entonces asegúrate de actuar y vestirse apropiadamente. Este toma la investigación pero nada mata la compenetración más fácil que no busca la pieza. En algunos casos, su objetivo es mantener a la gente en el modo de piloto automático que les permita no pregunta usted. Tener tu vestido, asearse, o conducta fuera de lugar quita el objetivo del piloto automático y
Perjudica a sus probabilidades de éxito. Ser un buen oyente Vea la sección anterior para obtener más detalles. La importancia de una buena escucha no puede ser exagerada. Si usted está tratando de hacer un amigo o hacer una ingeniería social mover, escuchar es una habilidad que necesita para dominar. Ser consciente de cómo afectan a la gente Una vez que vi a una mujer de edad avanzada coloca un elemento cuando salía de un supermercado. Lo recogió y siguió hacia el aparcamiento. Por el momento he atrapado con ella tuvo su cajuela abierta y estaba cargando comestibles a su automóvil. Subí detrás de este corto, poco anciana y con todas 6' 3" de mí que se cierne sobre ella dijo, "Perdone, ma'am." Yo estaba obviamente demasiado cerca para su comodidad, y cuando se dio la vuelta ella gritó, "Ayuda! Él está tratando de taza de mí. Ayuda!" Yo, evidentemente, necesita pensar en cómo mi presencia podría afectar a esta mujer durante mi interacción con ella. Yo debería tener en cuenta que una anciana sola en un parking que no esperaba un gran hombre para caminar hasta detrás de ella podría freak out. Yo debería haber venido alrededor y se acercó a ella desde un ángulo diferente. Ser consciente de cómo su apariencia y otros aspectos personales pueden afectar a aquellos que estarán en contacto con. ¿Necesitas un respiro menta? Asegúrese de que no hay comida en la cara o en los dientes. Intenta estar relativamente seguro de que nada es evidente en su apariencia personal que convierta a la persona. Profesor de psicología de la UCLA Albert Mehrabian es conocido por el 7-38-55, la regla que dice que las estadísticas muestran que sólo el 7% de la comunicación normal es las palabras que decimos, mientras que mucho más mentiras en el lenguaje corporal y los tonos de voz. Intente ser
consciente de ti mismo, sino también prestar atención a los primeros segundos de interacción con una persona. Su reacción a su enfoque puede decirle si usted posiblemente haya perdido algo, o si necesita cambiar algo para ser más eficaces.
Como un ingeniero social, ser consciente de cómo afectan a las personas. Si su objetivo final es todo lo que está en tu mente va a afectar a las personas que entran en contacto con el negativo. Piense en cómo su apariencia, palabras y lenguaje corporal puede afectar a su destino. Desea que aparezca abierta y acogedora.
Mantener la conversación fuera de sí mismo A todos nos gusta hablar de nosotros mismos y más aún si consideramos que tenemos una gran historia o cuenta de share-it es la naturaleza humana. Hablando de uno mismo es una manera de matar la relación. Deje que la otra persona hable sobre él hasta que se canse de ella; se considerará una "increíble amigo", "Un marido ideal", "gran oyente", "perfecto" Guy, ventas o cualquier otro título que está buscando. La gente se sienta bien cuando pueden hablar de sí mismos; supongo que todos somos un poco narcisista, pero dejando que la otra persona hable por sí mismo va a dejar que la interacción con su gusto mucho más.
Mantener la conversación fuera de sí mismo. Este punto es especialmente urgente para los ingenieros sociales. Usted tiene una meta definida en mente y a veces su juicio y la dirección puede verse empañado por lo que "tú" quieren. Teniendo ese enfoque fuera de la meta es peligroso en la medida en que el éxito va. Los objetivos permiten hablar sobre sus trabajos, funciones y proyectos, y se sorprenderá de la cantidad de información que se liberan.
Recuerde que la empatía es la clave para la compenetración Empatía-definido por Random House Dictionary como "la identificación intelectual con o vicaria de experimentar los sentimientos, pensamientos o actitudes del otro"- carece de muchas personas hoy en día y es especialmente duro para sentir si usted cree que tiene la solución al problema de alguien. Sin embargo, escuchando realmente lo que alguien
está diciendo, tratando de identificar y comprender las emociones subyacentes y, a continuación, usando las habilidades de reflexión puede hacer que una persona se sienta como si realmente están en sintonía con él. Consideré que era necesario establecer la definición de empatía, porque la comprensión de qué es lo que tienes que hacer es importante. Observe que debe identificar "intelectualmente" con experiencia y, a continuación, "los sentimientos, pensamientos o
Actitudes" de alguien más. Estas no son siempre graves, deprimente, o emociones extremas. Incluso la comprensión de por qué alguien está irritado, cansado o no en el mejor estado de ánimo puede recorrer un largo camino. Imagínese que usted vaya al banco a través de la unidad y la cajera dama le da un monstruo actitud porque se le olvidó firmar su cheque y ella ahora tiene que enviar de vuelta. También se olvidaron de una pluma y necesidad de pedirle otro favor. Su reacción podría ser similar a la mía, especialmente si ella le dio el rollo del ojo y la mirada irritada-quiere decir que ella está aquí para servirle. En vez de eso, trate de decir esto, "Parece que podría ser un poco irritado. Entiendo que; me irritan cuando tengo que tratar con mis clientes olvidadizos, demasiado. Me gusta preguntar esto, pero ¿podría obtener un lápiz?".
Es importante no ser paternalista al intentar mostrar empatía. Si la empatía parece desprenderse altaneros y arrogantes, puede hacer que el destino te sientes como un paternalista. Usted reconoce su ser molesto pero sin acusación, demostraron que tiene los mismos sentimientos, y luego hizo una petición. Empatía puede ir un largo camino hacia la construcción de una relación; una salvedad es que rapport no pueden falsificarse. Las personas necesitan sentir que están genuinamente interesados en construir esa relación de confianza. Si no son naturales a la hora de mostrar empatía, luego la práctica. Practique con su familia, amigos, compañeros, profesores o compañeros de clase. Sin embargo, dondequiera que esté, practicando ser empático mejorará enormemente su capacidad de crear relaciones. La empatía es una herramienta de la ingeniería social. Lamentablemente, también se utiliza a menudo en ingeniería social maliciosa. Cuando una catástrofe golpea en algún lugar del mundo un ingeniero social malicioso existe a menudo a "empatizar" con usted. Lo que probablemente hace que esta herramienta tan fácil para los ingenieros sociales malintencionados para utilizar en muchos casos es porque verdaderamente son de mala, mala o lugares empobrecidos. Siendo de mala estrecho sí hace apareciendo empático a otros " tribulaciones en la vida fácil y por lo tanto crea
rapport automáticamente. Nada crea relaciones más cuando la gente siente que "conseguirlos." Esto es muy cierto probada cuando alguien es víctima de un desastre. Es un pensamiento de miedo, pero los que han sido víctimas de abusos, delincuencia, violaciones, catástrofes naturales, guerras y otras atrocidades en la tierra a menudo puede "comprender" los sentimientos de aquellos
Que están experimentando. Esto abre víctimas hasta confiando el tipo equivocado de personas si esa relación se construye. Como se mencionó antes, cuando los atentados del 11 de septiembre sucedió en la Ciudad de Nueva York, mucha gente reclama que han perdido familiares o amigos en los ataques terroristas. Que la gente empatizar y, por lo tanto, estas "víctimas" les dio dinero, fama, o lo que sea que buscaban. Como auditor de ingeniería social, debe ser capaz de tener una amplia gama de emociones que puede tocar. Está cerrado en sus emociones hace ser empático muy duro. Este punto va junto a la gente le gusta. Si usted lo hace, usted no tendrá un tiempo difícil conocer a ellos y a sus historias y empatizar con ellos.
Estar bien redondeado en su conocimiento general El conocimiento es poder. No tienes que saber todo acerca de todo, pero tener algunos conocimientos acerca de algunas de las cosas es una buena idea. Te hace interesante y le da algo a la base una conversación. El conocimiento es poder. El viejo mantra hacker viene a usted como un ingeniero social. Un ingeniero social debe ser un lector y studier. Si usted llena su cabeza con conocimiento, entonces usted tendrá que hablar cuando se dirija a un destino. No te olvides de leer, investigar y estudiar sobre el tema de la ocupación del destino o pasatiempos. Su objetivo no es el de ser un "know-it-all" y convertirse en un experto en cada tema, sino tener suficiente conocimiento que no mire el destino con una mirada en blanco cuando ella le pregunta, ¿usted trae un conector RJ-45 con usted para solucionar los problemas de conexión de red del servidor?".
Desarrollar tu lado más curioso Normalmente, las personas sienten un poco de auto-justos cuando se trata de sus creencias o pensamientos sobre la manera en que deben hacerse las cosas. Que la santurronería o actitud condenatoria puede cambiar la forma en
que una persona reacciona a algo que se dice. Incluso si usted no dice nada puede empezar a pensar, que puede mostrar en su lenguaje corporal o expresiones faciales. En lugar de ser pretenciosa,
Desarrollar una curiosidad acerca de cómo otras personas piensan y hacen las cosas. Ser curioso le impide hacer juicios temerarios. Esto puede ser aplicado por ser suficientemente humildes para pedir ayuda o pedir más información. Tener la mente abierta lo suficiente para buscar y aceptar otro sus pensamientos sobre un tema, incluso si esos pensamientos difieren de las suyas. La curiosidad no mata el ingeniero social. Este punto no cambia mucho de un no-ingeniero social perspectiva. Cuando usted llega a ser curioso acerca de otros estilos de vida, culturas e idiomas que comienzan a entender lo que hace que la gente se marque. Ser curioso también le impide ser rígido e inflexible en sus juicios personales. Puede que personalmente no estoy de acuerdo con ciertos temas, creencias o acciones, pero si puede permanecer imparcial y curioso entonces puede acercarse a una persona por tratar de entender por qué él es, actos o retrata de una cierta manera, en lugar de juzgar a él.
Encontrar maneras de atender las necesidades de las personas Este punto es el pináculo de la lista y es uno de los puntos más poderosos en este libro. El Dr. William Glasser escribió un libro llamado " teoría de la elección en la cual identificó cuatro necesidades psicológicas fundamentales para el hombre:
Pertenencia/conexión/amor Significado/alimentación/Competencia Libertad y responsabilidad Diversión y aprendizaje El principio detrás de este punto es que la creación de formas para que la gente obtenga estas necesidades satisfechas por conversar con usted construye rapport instantáneo. Si puede crear un ambiente para proveer las necesidades de las personas, puede crear vínculos que son inviolables. Permítanme contarles una breve historia sobre cómo atender a las necesidades de las personas poderosas. Yo estaba en un accidente automovilístico menor. Un joven conductor sacó delante de mí y, a
continuación, decidió parar. Yo tenía una fracción de segundo para decidir entre pegarle va 55 mph o girando lejos de él, entonces el lanzamiento de mi coche durante una pequeña zanja en la ladera de una montaña. Yo elegí un segundo para no matar a los tres jóvenes en el coche. Mi coche ha ido airborne hasta que fue detenido por la roca sólida. Miré mi hermoso pequeño Jetta bajo la deformación personalizada
Peso, y mi cara golpeó el parabrisas. Yo apenas mellada los otros paragolpes trasero del conductor pero yo estaba moviendo lo suficientemente rápido como para que su coche fue girado en la autopista. Cuando pude obtener mi rodamientos nos llamó a la policía y una ambulancia. El joven tenía otra compañía de seguros que yo. A la mañana siguiente, recibí una llamada de su agente, quien amablemente me hicieron preguntas. Me dijo que un ajustador saldría a ver a mi ahora arrugada Jetta, y dentro de las 48 horas me entregaron un cheque y una carta que decía que cubriría todos los gastos médicos de mi recuperación. Entonces me fue dada una llamada de seguimiento de su agente de seguros para ver si yo estaba bien. ¿Cuántas llamadas desde mi compañía de seguros crees que tengo? Tengo uno, sólo para decirme cómo responder a estas preguntas. Entiendo que preocuparse por cada persona no es el trabajo de estas grandes empresas. Pero el otro agente me llamó ver si yo estaba bien. He luchado sin batallas para conseguir pagado y me dieron un precio muy justo para mi coche. Dos días después de que cancelé mi seguro y fui a ver a Eric, el agente de seguros que me llamó, de la joven compañía. Le dije que estaba tan impresionado que quería lo que estaba vendiendo. Han transcurrido 12 años y ahora puedo usar Eric para cada necesidad de seguro que tengo. Hace unos dos años, recibí una llamada de una compañía de seguros que me ofrece tarifas que eran considerablemente inferiores a lo que Eric y su empresa oferta. No podía ni siquiera pensar en hacer que a Eric. ¿Por qué? Rapport-simple y llanamente. Eric es mi amigo, mi ayudante, alguien me puede llamar a preguntas acerca de seguros, y alguien que siempre me dan los mejores consejos. Él se interesa, él conoce a mi familia, y él nunca intenta difícil convencerme. No se, porque me voy a comprar lo que él tiene, porque confío en él. Este es el poder de la comunicación. No sé, quizás Eric's end game al comprobar en mí fue a buscarme para ir a su práctica de los seguros, aunque lo dudo. Conocerlo, él realmente se preocupa y quien sabe él dice la misma cosa. Su hermano y él ejecuta un sólido negocio. Rapport puede
crear lazos entre las personas que trascienden el costo o pérdida. Llenando una necesidad de la persona con la que estás hablando aumenta drásticamente las posibilidades de construir una relación de comunicación. Hacerlo sin que parezca tener un juego final, hágalo con un genuino deseo de ayudar, y se sorprenderá de los resultados. Quizás
Ninguna otra vía es más valiosa para los ingenieros sociales que sea capaz de atender a esas necesidades. Aprender a crear un entorno que permita el destino para sentirse cómodos y obtener uno de los cuatro básicos de las necesidades fundamentales es una forma segura de garantizar una relación indisoluble. Los espías utilizan este principio de llenar una necesidad o un deseo a menudo. En un viaje reciente a un país Sudamericano se me dijo que su gobierno está infiltrado todo el tiempo a través del cumplimiento de la necesidad básica de "conexión o el amor." Una mujer hermosa será enviada a seducir a un hombre, pero esto no es una mesilla de noche. Ella le seducirá por días, semanas, meses o incluso años. Como el tiempo sigue obtendrá más audaz con sus peticiones de donde son íntimas, finalmente hacer su camino a su oficina, donde se accede a la planta bugs, troyanos, o clonar discos duros. Este método es devastadora, pero funciona. Los ingenieros sociales llenar deseos a través de los correos electrónicos de phishing. En una prueba de 125 empleados de una empresa de renombre se enviaron archivos etiquetados BritneyNaked falsa imagen.jpg, MileyCyrusShowering.jpg, y otros nombres, y cada imagen se codifica con un código malicioso que daría el ingeniero social acceso en el equipo del usuario. Los resultados fueron que más del 75% de las imágenes se hizo clic. Lo que se encontró fue la joven estrella mencionados en la imagen, cuanto mayor sea el ratio de clic.
Estos repugnantes y devastadores hechos demuestran cuán bien cumpliendo los deseos del pueblo puede trabajar. Personalmente, no es diferente. Los interrogadores de la policía utilizar esta táctica para aumentar la confianza todo el tiempo. Una vez entrevisté a un agente encargado del cumplimiento de la ley para un podcast que hice en www.socialengineer.org/framework/Podcast/001__Interrogation_and_Interview_Tactics social-engineer.org ( ). El invitado contó una historia que demuestra este punto acerca de la potencia de la compenetración para hacer a la gente cumplir con las solicitudes. Los agentes habían arrestado a un hombre que era un peeping tom. Él tenía un fetiche donde amaba a invadir la intimidad de las mujeres que llevaban
botas de vaquero rosa. El cumplimiento de la ley, en lugar de juzgar a él por el monstruo es él, utilizar frases como "Me gustan las rojas" y "Yo vi a esta chica el otro día vistiendo pantalones muy cortos y alta botas de vaquero, guau!".
Después de sólo un corto tiempo comenzó a relajarse. ¿Por qué? Fue entre personas afines. Se sintió conectado, parte de la multitud. Sus comentarios le pusieron en la facilidad y comenzó a derramar su coraje sobre su "hábitos".
El anterior es un buen ejemplo de cómo desarrollar y construir una relación, pero ¿cómo lo puede usar como un ingeniero social? Puede establecer comunicación en cuestión de segundos mediante la aplicación de los principios de la construcción de una relación comentada anteriormente. Para probar esto, imagine que usted necesita agarrar algo de dinero, no tienes tu tarjeta ATM en usted, y usted ha olvidado su número de cuenta, así que tienes que ir y pídale a alguien que lo ayude. Tal vez te sientes un poco avergonzado por tener que pedir su número de cuenta. Entras en una sucursal local de su banco, que nunca han sido. No hay nadie en el banco y usted tiene su elección de escrutadores. Tal vez usted no piense en ella, la mayoría de las personas no, pero habrá que mirar por encima de todas las pistas abiertas y elegir a la persona que te hace sentir más cómodos. Usted obtendrá los mismos resultados de cada carril, pero usted puede elegir el que te hace sentir bien.
Tal vez usted elige la persona más atractiva, o el de mayor sonrisa, o quien le saluda la primera persona que usted elige y sin embargo usted elige hacer la elección consciente o inconscientemente, pero mucho de esto tiene que ver con comunicación. El mismo principio será cierto cuando se trata de usted y su destino. A medida que usted camina hasta un destino va a hacer juicios precipitados instantáneo de usted basándose en su apariencia personal, la conducta, las expresiones faciales y, por supuesto, su estado de ánimo. La mayoría de estos factores puede controlar, a fin de adoptar medidas preventivas en ellos para garantizar el éxito. Aumentar la confianza crea un vínculo correctamente como un pegamento muy fuerte que puede soportar leves molestias e incluso algún malentendido. Rapport permite a una persona a decir y hacer cosas que sólo los amigos cercanos pueden hacer, porque él o ella entra en ese círculo de confianza. Es una poderosa fuerza sin que los vendedores, amistades, empleo, y muchas otras situaciones son mucho más difíciles. Recuerde el capítulo 4 sobre pretexting? Usted ha aprendido que pretexting es más que simplemente tocando una pieza, es vivir, de ser y
llegar a ser la persona que estás retratando a la meta. Teniendo un fuerte pretexto es imprescindible para construir el tipo de relación. En muchos contratos de ingeniería social no tendrá tiempo de construir un argumento y el uso a largo plazo o seducción rapport técnicas, por lo que su éxito se basa en muchas de las cosas no verbales
Usted tendrá que hacer. Utilizando otras técnicas Rapport-Building Otros rapport de capacidades existen técnicas que se basan en investigaciones de PLN. Como usted ya sabe, la compenetración es básicamente conectar con alguien y poner a él o a ella en la facilidad; algunos NLP técnicas utilizadas por hipnotizadores y practicantes de la PNL puede poner a las personas en la facilidad instantáneamente, como se explica a continuación.
Respirar al mismo ritmo que su target Respirar al mismo ritmo que alguien no significa que usted escuche a cada respiración y trate de inhalar y exhalar cuando su destino. Pero algunas personas tienen muy definidos: algunos tienen patrones de respiración rápida y corta la respiración, y algunos tienen una larga y profunda. Observe cómo el destino respira y espejo que patrón, pero sin imitar a (es decir, hacerlo en el mismo momento exacto).
Igualando su tono vocal del destino y patrón de voz Nací en Nueva York y criado en una familia italiana. Hablo rápido, fuerte, y con mis manos. Además de ser 75 por ciento italiana, yo soy 25% Húngaro. Estoy grande, alto y fuerte y el gesto como un profesional de la lengua de signos en la velocidad de traslación. Si me acerco a un tímido, tímido, hablando lento sureño puedo matar rapport si yo no ralentizar, ponga las manos lejos, y cambiar mi estilo de comunicación. Escuche su tono vocal del destino y coinciden con los suyos a la suya, tanto si se trata de un lento, rápido, fuerte, tranquilo, suave o altavoz. En cuanto a los acentos, una buena regla es: no intentes. A menos que se puede hacer muy bien ni siquiera lo intentan. Un mal hecho énfasis es una relación mortífera. A lo largo de estas mismas líneas, también puede intentar escuchar frases clave. La gente utiliza términos como "Okie Dokie" o "yepper." Escuchar cualquier frases clave, e incluso si están ahí fuera, usted podría ser capaz de
trabajar con ellas en una oración. Una vez estuve hablando con un destino que dicen cosas como, "seis de uno y media docena de otro." Yo no uso esa frase mucho y no desea el tornillo, porque eso crearía una falta de comunicación. En su lugar, quiero mezclar
En algunas de las palabras clave de esa frase y decir cosas como, "tengo que hacer que una media docena de veces". Cómo alguien habla también es un área donde usted debe restringir sus criterios personales. Algunas personas están cerca talkers, algunos son whisperers, algunos son touchers-si no, tendrá que permitir la libertad de una persona para hablar de la forma en que él o ella es cómoda y espejo.
Que coincidan con su lenguaje corporal del destino El lenguaje corporal es coincidente una avenida muy interesante edificio de rapport principalmente porque puede trabajar para crear lazos muy fuertes pero al mismo tiempo puede matar toda su comunicación en cuestión de segundos en el caso de una discrepancia.
Si te das cuenta que alguien de pie de una cierta manera, quizá con ambos brazos cruzados, no asuma que está cerrando fuera quizás ella es sólo frío. Se puede cruzar un brazo alrededor de su cuerpo para reflejar su postura, o doblar las manos en un campanario? Cuando esté sentado frente a alguien que está comiendo una comida puede tomar desde unos pocos sorbos su bebida mientras come al espejo de él. No hagas todo lo que hace, sino tomar acciones similares. A la gente le gusta la gente que son como ellos mismos. Eso es simplemente la naturaleza humana. Les hace sentir cómodos. Bill Philips fue el genio detrás del cuerpo- en -el programa de vida que ha cambiado la forma de los programas de ejercicios fueron desarrollados. Él promovió algo que estaba fuertemente vinculada al principio de simetría. Si usted es gordo y usted sólo colgar hacia fuera con la gente gorda, la probabilidad de que su cambio es delgado a ninguno. ¿Por qué? La respuesta es que usted se sienta cómodo con la gordura y con personas que también se sienten cómodos con ella. Si desea cambiar y, a continuación, colgar hacia fuera con personas delgadas y un cambio mental se suceden rápidamente.
Este principio es el mismo en la ingeniería social. Usted no
quiere que sus objetivos para lograr un cambio, por lo que es necesario para ser como ellos. Usted quiere sentirse bien con usted. Relación de pruebas
Utilizando estas técnicas de construcción de comunicación alternativa, así como los niveles de energía coincidentes, expresiones faciales, y al igual que puede construir una fuerte relación en un nivel subliminal. Después de probar algunas de estas tácticas que puede probar su rapport haciendo un movimiento, como rascarse la cabeza o frotarse el oído, y si en el próximo minuto o dos ves tu objetivo realizar un movimiento similar probablemente han desarrollado una fuerte relación. Estas técnicas pueden hacer maravillas en muchas partes de su vida en el desarrollo, construcción y, a partir de las relaciones con los demás. Aprender a utilizar los principios psicológicos incluidos en este capítulo puede hacer una gran diferencia en su práctica de ingeniería social. Durante años, ha habido un mito que la mente humana puede ser sobrescrito como un programa. Es sólo un mito? La mente humana puede ser dominado?
La sección siguiente muestra algunos de los más alucinante información en este libro. El desbordamiento de búfer humano Un vaso sólo puede sostener tanto líquido. Si usted tiene un vaso de 8 onzas y se intenta verter 10 onzas de líquido en ella, ¿qué ocurrirá? Desbordará y extenderse por todo el lugar. Si intenta forzar el contenedor para almacenar más líquido que se supone que puede llegar a romperse el cristal debido a la presión.
Los programas de ordenador funciona de una manera similar. Imaginemos que tenemos un pequeño programa que tiene como única finalidad y dos campos: Nombre de usuario y contraseña. Cuando se abre el programa puede ver una pequeña pantalla donde usted escriba admin en el campo Nombre de usuario y la contraseña en el campo Contraseña. Aparecerá un pequeño cuadro que dice "OK", significando todo está bien.
El desarrollador asignado una cierta cantidad de espacio de memoria para el campo de nombre de usuario, lo suficiente para sujetar la palabra admin un par de veces. ¿Qué ocurre si pones 20 A en ese campo y haga clic en OK? El programa se bloquea y le da un mensaje de error. ¿Por qué? La entrada introducida supera el espacio asignado y sin manejo adecuado de errores
El programa genera una excepción y se bloquea. El objetivo de los hackers de software es encontrar la dirección que el programa recurrirá a un accidente e insertar código malicioso en esa dirección. Controlando el flujo de ejecución el hacker puede decirle al programa que "execute" cualquier programa que desee. Él puede inyectar comandos de cualquier tipo en el espacio de memoria de ese programa porque ahora lo controla. Como un probador de penetración pocas cosas son más emocionantes que ver un programa ejecutar comandos que tú le digas. La mente humana se ejecuta "software" y a lo largo de los años usted construir conjuntos de instrucciones, los tampones y las longitudes de la memoria en su "paquete de software".
Antes de aplicar esto a la mente humana, las definiciones de algunos términos técnicos son necesarios. Un búfer es un área de espacio que se da para que ocurra algo o para almacenar datos. Como en la visión simplista de vidrio ejemplo-de-agua, el campo de la contraseña es un buffer, que es el número de caracteres que se permite tener. Si un mayor número que el búfer se introduce el programador necesita decirle al programa que hacer algo con el conjunto de datos más grande de lo necesario. Si no lo hace, el equipo se bloquea y el programa se cierra. A menudo, lo que sucede en el fondo es el programa no sabía qué hacer con todos los datos para que desbordó el espacio asignado, se estrelló contra el programa, y salió. De ahí el término desbordamiento de búfer. La mente humana funciona de una manera similar. Se asigna espacio para ciertos conjuntos de datos. Si un determinado conjunto de datos no encaja en el espacio que tenemos para ti, ¿qué sucede? A diferencia de un ordenador, el cerebro no se bloquea, pero abre una brecha momentánea que permite que un comando para ser inyectada por lo que el cerebro puede ser informado sobre qué hacer con los datos extra.
Un desbordamiento de búfer humano es básicamente el mismo principio. El objetivo es identificar un "programa" e insertar
códigos en ese programa que le permitirá insertar comandos y, en esencia, controlar el movimiento del pensamiento en una dirección determinada.
Para probar este concepto, eche un vistazo a un ejemplo muy simplista (vea Figura 5-16 ).
Porque la imagen en este libro es blanco y negro, he puesto una copia a color
En Arriba En El Sitio web www.socialesEngineer.org/resources/book/HumanBufferOverflow1.jpg . Aquí está la esencia. Abrir esa URL y, a continuación, tan rápido como usted puede intentar leer el color de la palabra, no lo que la palabra hechizos. Figura 5-16: desbordamiento de búfer humano experimento 1.
Este juego no es tan fácil como parece. Si usted logra obtener a través de él y, a continuación, pruebe a realizar el ejercicio más y más rápido. Lo que va a suceder, si no todas, la mayoría de
nosotros, es que al menos una vez que se lea la palabra y no el color, o si te encuentras luchando por ella. ¿Por qué tenemos un tiempo duro con este ejercicio? Es por inyección de comandos. Nuestro cerebro quiere leer las palabras no los colores. Es la manera en que la mente humana está cableada. Nuestro cerebro percibe el color pero reacciona a la palabra escritas en primer lugar. Por lo tanto, el pensamiento en nuestras mentes es la palabra, no al color. Este ejercicio demuestra que "código" se ejecutan en el cerebro humano que podría ser lo contrario de lo que la persona está pensando o viendo es posible.
Establecer las reglas de juego
En un documento titulado "Modificación de voz audible y visual" ( Www.prometheus-inc.com/asi/multimedia1998/papers/covell.pdf ) investigadores Michele Covell, Malcolm Slaney, Cristoph Bregler, y Margaret Withgott afirman que los científicos han demostrado que las personas hablan de 150 palabras por minuto, pero creo que a 500-600 palabras por minuto. Esto significa que la mayoría de personas con las que hable puede saltar alrededor de sus conversaciones en sus cabezas. Así que desborda el cerebro mediante un rápido discurso parece casi imposible.
También debe comprender cómo las personas toman decisiones en la vida. Las personas hacen la mayoría de sus decisiones subconscientemente, incluyendo cómo conducir al trabajo, tomar café, cepille sus dientes, y quéropa llevar sin realmente pensar en ello. ¿Alguna vez has conducido todo el camino al trabajo y cuando llegues allí, usted no puede recordar qué vallas pasó, qué ruta que tomó o que el accidente de tráfico en las noticias? Usted estaba en un estado de mente donde su subconsciente asumió e hizo lo que siempre hacen sin pensar conscientemente en cada turno. La mayoría de las decisiones son como la gente hace esto. Algunos científicos incluso creen que las personas toman decisiones hasta siete segundos antes en su subconsciente, antes de introducirlos en el mundo real. Cuando la gente finalmente hacer una decisión consciente lo hacen con algo más que lo que oyen-vista, sentimientos, emociones y participar en la decisión.
La comprensión de cómo los seres humanos trabajar y creo que puede ser la manera más rápida de crear un desbordamiento de búfer, o un desbordamiento de los programas naturales de la mente humana para que pueda inyectar comandos.
Las pruebas aleatorias de los derechos OS En la piratería de software real, un método denominado " fuzzing" se
utiliza para encontrar errores que pueden sobrescribirse y dar el control a un hacker malicioso. Las pruebas aleatorias es donde el hacker arroja datos aleatorios en el programa en longitudes diferentes para ver qué hace crash, porque no puede manejar los datos. Que da el hacker una ruta para inyectar código malicioso. Al igual que las pruebas aleatorias de un programa, usted debe entender cómo la mente humana reacciona a ciertos tipos de datos. Presentación de personas con diferentes conjuntos de
Las decisiones o los diferentes conjuntos de datos y, a continuación, ver cómo reaccionan puede decirnos el "programas" que se están ejecutando. Ciertas leyes en la mente humana parece ser inherente que todos siguen. Por ejemplo, si te acercas a un edificio con dos conjuntos de puertas (uno exterior y otro interior) y mantiene el primer juego abierto a un completo extraño, ¿qué piensa usted que va a hacer a continuación? Él va a celebrar el próximo conjunto abierto para usted o para asegurarse de que permanece abierto hasta que entras.
Si usted está en una línea de combinación de tráfico y permite que un completo extraño combinar delante de usted, lo más probable es que si usted necesita para combinar más adelante él te dejaría sin siquiera pensar. ¿Por qué? La razón tiene que ver con la ley de las expectativas , que dice que la gente suele cumplir con una expectativa. Las decisiones normalmente se hacen sobre la base de lo que la persona siente el solicitante espera que él o ella pueda hacer. Una manera en la que usted puede comenzar a enviar sus datos "malicioso" al cerebro programa se denomina Presupuesto . Dando la meta algo en primer lugar, la solicitud que realice el próximo será "espera" a seguir. Un ejemplo sencillo para probar con las puertas. Mantenga una puerta para alguien y lo más probable es que esa persona, por lo menos, hará un intento para asegurar el siguiente conjunto de puertas está abierta para usted. Un ingeniero social puede hacer esto primero dar el destino una felicitación o un pedazo de información que consideren valiosa, antes de que se haya hecho la solicitud. Dado que en la primera se crea en ellos la necesidad de cumplir con una petición futura como se espera.
Presuposición puede describirse mejor mediante un ejemplo: "Sabía que mi vecino, Ralph, siempre conduce un Ford Escort verde?". En esta frase se presuponen: Sé que mi vecino. Su nombre es Ralph.
Él tiene una licencia de conductor. Él conduce un coche verde. Para utilizar eficazmente una presuposición usted formula una pregunta utilizando palabras, el lenguaje corporal y una expresión facial que indica qué está pidiendo ya está aceptado. La esencia básica de este método es omitir el "firewall"
(la mente consciente) y acceder directamente a la "raíz del sistema" (el subconsciente). La forma más rápida para inyectar su propio "código" es a través de comandos incrustados, discutió la próxima.
Las reglas de comandos incrustados Algunos principios básicos de comandos incrustados de hacerlas funcionar:
Normalmente, los comandos son cortos: de tres a cuatro palabras. Ligero énfasis es necesaria para hacerlos efectivos. Escondiéndolos en sentencias normal es el uso más eficaz.
Su lenguaje corporal y facial debe apoyar a los comandos. Comandos incrustados son populares en la comercialización con cosas como: "Comprar ahora". "Actuar ahora!". "¡Sígueme!" En un verdadero desbordamiento de búfer, explotar los escritores utilice relleno, que es un método de adición de algunos caracteres que no interrumpa la ejecución pero permitir un buen poco de "plataforma de aterrizaje" que conduce al código malicioso. Los ingenieros sociales pueden utilizar frases que son como relleno, para ayudar a que el siguiente comando tienen un lugar suave a la tierra cuando es inyectado, tales como:
"Cuando...". ¿Cómo te sientes cuando…". "Una persona puede…". "Como usted…". Todas estas afirmaciones crear una emoción o un pensamiento que le permite inyectar código en el
subconsciente. Muchos ejemplos de comandos incrustados existen, pero aquí están unos pocos a meditar: Usar comillas o historias: el cerebro tiende a elaborar historias de forma diferente que el resto de la información. Algunos de los grandes maestros que han vivido-Aristóteles, Platón, Gamaliel, Jesús-todas las historias e ilustraciones utilizadas para enseñar a los escucha. ¿Por qué?
La mente inconsciente procesa historias como instrucciones directas. Bandler, uno de los padres de la PNL, enseñó que la PNL practicantes deben aprender a usar comillas. Él conocía el poder de historias o presupuestos daría el altavoz con alimentación a través de la mentalidad de sus oyentes. Leer citas, mediante citas y, a continuación, incrustar comandos en las citas puede ser un poderoso uso de esta técnica. Por ejemplo, en una situación que necesitaba para manipular un destino para darme una contraseña antigua así que podría "cambiar" a una contraseña más segura. Mi pretexto fue un apoyo rep y automáticamente se preguntó por qué era necesario cambiar las contraseñas antiguas. He usado algo como, "Un estudio reciente realizado por Xavier Research Inc., declaró que el 74% de las personas usan contraseñas débiles en la América corporativa. Esa es la razón por la cual hemos iniciado un programa para cambiar las contraseñas en toda la empresa. Voy a realizar ese cambio de contraseña para usted; necesito para que me den su antigua contraseña de Windows y, a continuación, voy a hacer ahora." citando a un centro de investigación que añaden peso a mis palabras sobre el porqué de este cambio tenía que ocurrir. Con la negación: la negación es muy similar a la psicología inversa. Contándole el destino para no hacer algo demasiado, puede incrustar un comando en la oración. Por ejemplo, si te digo "no pasar demasiado tiempo practicando el uso de comandos incrustados," me puede deslizarse el comando "practicar la utilización de comandos incrustados" en mi oración. También me puede presuponer que podrá practicar en alguna medida, y si eres terco puede decir, "no me puede decir qué hacer, voy a practicar todo lo que quiero". Decirle a una persona que algo no es importante o relevante hace su inconsciente preste especial atención para que pueda determinar si es o no pertinente. Puede incrustar comandos en las frases negativas como el ejemplo anterior que dejará el oyente ninguna opción pero para tomar acción. Obligando al oyente a usar su imaginación: Este método funciona cuando le pida el oyente una pregunta, usando frases como "qué
pasa…" o "¿Cómo se siente cuando…", para lo cual debe imaginar algo para responder a ella. Si usted pregunta, "¿Qué sucede cuando usted se convierte en ricos y famosos?" El oyente tiene que imaginar internamente el tiempo que podría ser rico y famoso para responder a esa pregunta. Si le pregunto, "¿Qué
Ocurre cuando usted dominar el uso de comandos incrustados?" Estoy forzando a imaginar convertirse en un maestro y cómo usted se siente cuando eso sucede. Piénsalo de esta manera: Si yo te digo "no imaginar una vaca roja", usted tiene la imagen de una vaca roja en primer lugar decirle a usted a no pensar en ello. Tu mente inconsciente se encarga de interpretar cada palabra en un conjunto de comandos en algo que puede representar y, a continuación, darle sentido. En el momento en que su cerebro se ha entendido la sentencia, su inconsciente se lo ha imaginado. La mente inconsciente procesa instrucciones directamente, sin tener en cuenta el contexto. La otra gran parte es que el inconsciente puede rastrear el lenguaje corporal, expresiones faciales, tonos de voz, gestos y, a continuación, conectar cada uno de ellos el mensaje hablado. Mientras se está conectando los puntos, por decirlo así, la mente inconsciente no tiene más opción que la de cumplir si existe un comando integrado.
¿Qué es lo más importante cuando se utilizan comandos incrustados no se estropearan sus tonos. Si exagerar las palabras entonces usted va a sonar extraño y ahuyentar a la persona en lugar de incrustar comandos. Como con un desbordamiento de búfer del software, la información debe coincidir con el comando que se está tratando de desbordamiento. Resumen Como usted probablemente ya han imaginado, incrustar comandos es un vasto campo con mucho margen para el error. Usted debe practicar para ser muy exitoso en ella. Aunque yo no promover el uso de esta información para la seducción algunos vídeos decentes existentes en torno a la seducción que muestran cómo comandos incrustados pueden trabajar.
Utilizando estos principios pueden crear un entorno en el que el objetivo es muy receptivo a las sugerencias.
Sólo porque usted dígale a la persona, "Usted compra a mí" no significa que siempre funcionará. Entonces, ¿por qué el uso de estos comandos? Se crea una plataforma para hacer más fácil la ingeniería social. Usando estos tipos de comandos también es una buena lección para las empresas que trabajan con a
Educarlos acerca de qué buscar y cómo detectar a alguien que puede estar tratando de utilizar este tipo de táctica de ingeniería social contra ellos.
Si fuera a escribir este principio de comandos incrustados como una ecuación, se puede escribir de esta manera: Desbordamiento de búfer humano = Ley de expectativas + Mental Padding + códigos incorporados. Iniciar una conversación con un destino usando frases, lenguaje corporal y voz assumptive. Suponer las cosas que pides son ya tan buena como lo ha conseguido. A continuación, rellenar la mente humana con algunas declaraciones que hacen más fácil incrustar comandos, mientras que al mismo tiempo la incrustación del comando. En esencia, esta es la ecuación de los derechos el desbordamiento de búfer. Utilizar esta ecuación con moderación, pero practicar bastante antes de que lo intentan. Pruébelo en el trabajo o en casa. Elija un destino de trabajo que normalmente no podría cumplir con solicitudes sencillas y tratar de ver si puedes conseguir que te sirven el café: "Tom, veo que se dirige a la cocina, me trae una taza de café con dos cremas, por favor?".
Envíe los comandos para las tareas más grandes para ver cuán lejos puede llegar. Intente utilizar esta ecuación para obtener el compromiso de las personas. Utilizar eventualmente esta ecuación para ver cuánta información puede conseguir y cómo muchos de los comandos se puede inyectar. Este capítulo abarca algunos de los más impresionantes y profundos principios de la psicología de la ingeniería social. Este capítulo solo puede cambiar tu vida, así como su capacidad como
un ingeniero social. La comprensión de cómo la gente piensa, ¿por qué piensan de una cierta manera, y cómo cambiar sus pensamientos es un aspecto muy potente para ser un ingeniero social. En la lista siguiente: cómo influir en su destino.
Capítulo 6
Influencia: El poder de la Persuasión
Si usted quiere persuadir, debe apelar a intereses más que el intelecto. Benjamin Franklin
El epígrafe resume todo este capítulo. Quizás se esté preguntando por qué no incluyo este dentro del capítulo 5's discusión de principios psicológicos de la ingeniería social. La psicología es una ciencia y un conjunto de reglas existente en que, si se aplicaran, arrojará un resultado. La psicología de la ingeniería social es científico y calculado.
La influencia y la persuasión son mucho como el arte que está respaldada por la ciencia. La persuasión y la influencia involucran emociones y creencias. Como se discutió en algunos de los capítulos anteriores, usted tiene que saber y lo que la gente piensa. La influencia y el arte de la persuasión es el proceso de llegar a alguien quiere hacer reaccionar, pensar o creer en la manera en que usted desea. Si es necesario, vuelva a leer la frase anterior. Es probablemente uno de los más poderosos condenas en todo este libro. Esto significa que el uso de los principios aquí mencionados, podrás mover a alguien a pensar, actuar, y quizás incluso creen que la forma en que desea que él porque él quiere.
Los ingenieros sociales utilizan el arte de la persuasión cada día y, por desgracia, estafadores y maliciosos utilizan los ingenieros sociales, también. Algunas personas han dedicado su vida a investigar, estudiar y perfeccionar el arte de la influencia. Quienes, como la Dra. Ellen Langer, Robert Cialdini, y Kevin Hogan han contribuido con un gran repositorio de conocimientos en este campo. Mezclar este conocimiento con la investigación y las enseñanzas de la PNL (programación neurolinguistic) maestros como Bandler, Grinder, y más recientemente de Jamie Smart, y usted lo que tiene es una receta para convertirse en un verdadero artista.
Verdadera influencia es elegante y suave, y la mayoría de las veces imperceptible para aquellos que están siendo influenciados. Cuando usted aprende los métodos usted comenzará a notar en los anuncios, carteles y cuando es utilizada por los vendedores. Usted comenzará a irritarse en la burda intentos de comercialización y si
Usted es como yo, usted comenzará a rant y rave en terribles anuncios y vallas publicitarias durante la conducción (que no hace muy feliz a mi esposa).
Antes de entrar en cómo los ingenieros sociales se utilizará en la influencia y la persuasión, el capítulo comienza con un breve recorrido por algunos de los elementos clave de la persuasión y la influencia que he compilado y utilizado. En este capítulo se analizarán aspectos como la reciprocidad, la manipulación y el poder de establecer metas, sólo para nombrar unos pocos de estos elementos clave.
La influencia y la persuasión puede dividirse en cinco aspectos importantes, tal como se explica en las siguientes secciones. Los cinco fundamentos de la influencia y la persuasión
Los cinco fundamentos de la persuasión son cruciales para la obtención de cualquier tipo de influencia sobre el éxito de un destino: Establecer metas claras Aumentar la confianza Estar atento de su entorno Siendo flexible Ponerse en contacto con usted El objetivo de la ingeniería social es influir en el destino para tomar una acción que puede o no estar en su mejor interés. Aun así, no sólo la acción, sino que queremos asumir la acción y quizás incluso gracias por ello al final. Este tipo de influencia es poderosa y puede hacer un ingeniero social que posea estas habilidades legendarias. NLP trainer de renombre mundial Jamie Smart dijo una vez, "El mapa no es el territorio." Me encanta esa cita porque combina perfectamente con estos cinco fundamentos. Ninguno de ellos es la suma total de sus propios, pero individualmente son como puntos en un mapa que te muestre todo el territorio de lo que desee hacer. La siguiente sección profundiza en el primer fundamental: ¿Por qué definir objetivos claros es muy importante.
Tener un objetivo claro en mente
No sólo debe tener un objetivo claro en mente, usted debe incluso ir tan lejos como para escribirlo. Pregúntese, "¿Qué quiero fuera de este compromiso o interacción?". Como se analizó en el Capítulo 5, especialmente en relación a la PNL, los seres humanos sistemas internos se ven afectados por sus pensamientos y sus objetivos. Si se centran en
Algo, usted puede tener más probabilidad de convertirse en ella o que la obtenga. Esto no significa que si se centran en la idea de conseguir un millón de dólares, lo va a conseguir. De hecho, es poco probable. Sin embargo, si había una meta de hacer un millón de dólares y se centró en las medidas necesarias para hacer que el dinero, sus metas y acciones, educación, aumentaría la probabilidad de que el logro de ese objetivo. Lo mismo ocurre con la persuasión. ¿Cuál es su objetivo? Es a cambiar las creencias de alguien? Para llegar a él tomar una acción? Supongamos que un querido amigo está haciendo algo terriblemente insalubres y desea intentar persuadir a su tope. ¿Cuál es el objetivo? Quizás el objetivo final es persuadir a su tope, pero quizás poco objetivos existen en el camino. Esbozando todos estos objetivos pueden hacer que la ruta a influir en esa persona más clara.
Después de fijar el objetivo, usted debe preguntarse, "¿Cómo voy a saber cuándo me he metido?" he escuchado una vez a un programa de formación ofrecido por Jamie Smart, uno de los líderes mundiales en la PNL, y le preguntó a cada persona en el aula estas dos preguntas:
¿Qué quieres? ¿Cómo se puede saber cuando usted lo tiene? En este punto, me detuve en el CD la primera pregunta y contesto por mí en voz alta lo que quería de este curso. Luego he pulsado el juego nuevamente y cuando pidió que la segunda pregunta, "¿Cómo se puede saber si han llegado?" Me detuve el CD de nuevo y se perdió. Era claro para mí que no tengo una "hoja de ruta". Yo sabía lo que quería salir de ese curso, pero yo no sabía cómo calcular el momento en que yo había conseguido. Sabiendo lo que quiere de sus compromisos es un aspecto importante de la influencia y la persuasión tácticas. Cuando te acercas a un objetivo saber cuáles son sus objetivos y cuáles son los indicadores que se están obteniendo lo que desea, entonces usted puede identificar claramente el camino que debe seguir. Objetivos claramente definidos que pueden hacer o romper el éxito de la influencia de las tácticas utilizadas por un ingeniero social así como hacer que el próximo paso sea mucho más fácil de dominar.
Rapport, Rapport, Rapport Capítulo 5 tiene toda una sección sobre la compenetración del edificio. Leerlo, estudiarlo, y perfeccionar sus
capacidades de comunicación. Desarrollar relaciones significa que usted obtiene la atención de la persona a la que se dirigen y su mente inconsciente, y crear confianza dentro de esa parte inconsciente. Dominar la habilidad de construir rapport puede cambiar la manera de tratar con la gente, y cuando se trata de ingeniería social, puede cambiar toda su metodología.
Para construir una relación, empiezan donde la persona desea influir es mentalmente -intenta comprender su estado de ánimo. Son sospechosos? Son molestos, triste o preocupado? Sea cual sea el estado emocional percibes, comenzar desde allí. No centrarse en los objetivos tanto como centrarse en la comprensión de la persona. Este es un punto muy importante. Esto significa que un ingeniero social debe entender su objetivo suficiente que pueda imaginar donde están conscientemente. ¿Cuáles son los pensamientos del destino y el estado de ánimo? Por ejemplo, imagine que desea influir en su querido amigo que quiere dejar de fumar o hacer las drogas u otra cosa. Observe que usted no quiere convencerla para salir, pero convencerla de que desea dejar de fumar. Su objetivo no puede ser sobre usted , ¿verdad? Debe centrarse en el objetivo. No se puede iniciar la conversación con lo que su adicción es haciendo y cuánto te odio el olor, y así sucesivamente. El argumento tiene que ser lo que es para ella . No puede iniciar la conversación con un ataque verbal acerca de lo que la persona ha hecho a usted con su hábito, pero usted necesita entender que dicha persona es el bastidor de la mente es, aceptarlo, y se alinean con él.
La ingeniería social es prácticamente el mismo: no se puede iniciar cuando estás mentalmente. Esto va a ser una lucha para muchas personas. ¿sabe usted por qué ella fuma? ¿Entiende usted el psicológico, físico o mental ¿por qué razones? Hasta puede conseguir realmente en sus zapatos, no se puede construir una relación fuerte y sus esfuerzos a la influencia fallará. Además, no siempre se puede basar la idea de aumentar la confianza en la lógica. Yo una vez estaba en el hospital con un querido amigo que se estaba muriendo de cáncer de garganta. Él había fumado por más de 40 años y un día se enteró que tenía cáncer. Se propagó rápidamente, llevándolo al hospital a vivir sus últimos días. Sus hijos vienen a visitarnos y cada ahora y entonces iban a abandonar la sala. Pensé que se iban a superar con emoción. Una vez que se excusaron salí para consolarlos y estaban fuera del hospital de fumar! Yo estaba atónito. Yo no fumo y no tienen ningún deseo de, y aunque puedo comprender cómo una adicción fuerte puede ser, yo no podía entender cómo después de ver el dolor de su padre era, cómo se podría plantear un cigarrillo a sus labios.
Logic no ganaría en este caso. Le decía a mi amigo de la infancia ¿por qué fumar es malo y cómo matarlos no haría buena esta información era inútil porque era combativo y sólo me hizo sentir bien en decirlo, pero no se alinea con su actual estado de ánimo. Hasta que entienda que la persona no puede construir exitosamente una
buena compenetración suficiente para influir en él o ella. Conseguir que alguien quiere hacer algo es una mezcla de emoción y
Lógica, así como la comprensión y la humildad en muchos casos. Una vez entré en una oficina que yo iba a hacer algunos trabajos y yo había oído un gracioso comentario fuera, así que cuando entré en el vestíbulo principal estaba riéndose. La mujer detrás del mostrador debe haber hecho algo embarazoso porque cuando ella me vio ella inmediatamente se enojó y me gritó, "No es muy divertido y eres un idiota". Ahora, yo no sabía que esta mujer y decirle la verdad yo tenía un objetivo en mente que esta interacción no iba a ayudar. Además, me sentí insultado que ella asumió me reía con ella, y quería lash en ella. Pero en su lugar, vi que estaba muy molesta. Me acerqué al mostrador para no avergonzar a su ya, me miró a los ojos y con sinceridad dijo, "lo siento mucho si usted pensó que yo estaba riendo de usted. Yo estaba en el aparcamiento y algunos de sus compañeros fueron contando una historia acerca de un partido durante el fin de semana y me pareció muy gracioso".
Ella me miró y yo podría decirle a ella estaba ahora aún más avergonzado, para salvar la cara para ella, le dijo en voz alta, "Ma'am, lo siento por la risa y vergonzoso." Esto le permitió salvar la cara a aquellos que nos rodean. Yo tenía entendido que "tomó a uno para el equipo" y ella respondió con extrema amabilidad. Un minuto más tarde se disculpó y funcionó para mi beneficio como me dieron todos los datos que pedí, datos que normalmente habría tenido que trabajar muy duro para conseguir. Una vez tuve un maestro solía decirme "matarlos con amabilidad." que es una declaración bastante potentes. Ser amable con la gente es una forma rápida de crear afinidad y para establecerse en los cinco fundamentos de la persuasión y la influencia. Un método para influenciar a la gente con amabilidad y simpatía es formular preguntas y dar opciones que les llevan a una ruta de acceso que desee. Por ejemplo, una vez fui influenciado a tomar un trabajo realmente, no me quiere como parte de un esfuerzo de equipo. El líder del equipo era muy carismático y amable y tenía el "factor encanto" que le permitía hablar con nadie. Se acercó a mí y me dijo, "Chris, quería hablar con usted por separado del equipo. Necesito una mano derecha para un proyecto pequeño. Pero la persona debe ser un gogetter, auto motivado. Creo que esto es usted, pero no quiero asumir; ¿qué piensa usted?".
Yo estaba emocionado y halagado por los elogios y el potencial de ser "importante", por lo que me respondió, "soy una persona muy auto-motivados. Sea lo que sea lo que necesite, me dicen".
El líder del equipo continuó: "Bueno, yo soy un gran creyente en liderar con el ejemplo. Y creo que tiene calidad de liderazgo. El problema es que algunos en el equipo no, y necesitan una persona fuerte para mostrarles cómo se
Hecho". Antes del final de la conversación, lo que él quería parecía como si fue mi idea, lo que hizo imposible de volver atrás. De hecho, poderosos y todo empezó con el poder de la persuasión. Estar en sintonía con uno mismo y su entorno Ser consciente de sí mismo y de su entorno o agudeza sensorial , es la capacidad para observar los signos de la persona a la que se dirigen y a usted que le indicará que se está moviendo en la dirección correcta o no.
Muchos de los principios enunciados en el capítulo anterior se aplican a la persuasión. Leer el lenguaje corporal y facial signos pueden decirle mucho acerca de su influencia en la persona. Para realmente dominar el arte de la doble influencia y persuasión, tienes que ser un maestro watcher Maestro y escucha. Chris Westbury, un neuropsicólogo cognitivo en la Universidad de Alberta, Canadá, estima que los cerebros humanos procesan la información en 20 millones de millones de cálculos por segundo. Estos cálculos están representadas por las expresiones faciales, gestos, microexpressions, posturas, tonos de voz, ojo parpadea, el ritmo respiratorio, los patrones de discurso, las expresiones no verbales, y muchos más tipos de patrones distintivos. Dominar la influencia significa ser consciente de esas cosas sutiles en usted mismo y en los demás. He encontrado, para mí, la capacidad de ser cumplidores demostró ser más fácil para mí después de recibir algún tipo de formación del Dr. Ekman en microexpressions. Después me pareció que no sólo me hice mucho más consciente de lo que estaba pasando con quienes me rodean, sino también a mí mismo. Cuando me sentí una cierta expresión en mi cara, yo era capaz de analizar y ver cómo podría ser presentada a los demás. Este reconocimiento de mí y mi entorno fue uno de los más esclarecedores experiencias de mi vida. NLP expertos promover minimizando su diálogo interno cuando se trata de influir en los demás. Si te acercas a la meta pensando en la próxima etapa del ataque, el objetivo final, o regresos para posibles topes de conversación, ese diálogo interno puede hacer que usted pierda mucho de lo que está sucediendo a su alrededor. Siendo observante lleva mucho trabajo, pero la recompensa merece la pena.
No actúan dementes, ser flexible ¿Qué significa no actuando loco y siendo flexible? Una definición de la locura que ha estado flotando durante años es "hacer la misma cosa una y otra vez y esperar resultados diferentes." están dispuestos y capaces de flex es uno
De las claves de la persuasión. Usted puede pensar de esta flexibilidad en términos de las cosas físicas. Si se encargó de persuadir o doblar algo, preferiría ser una rama de un árbol de sauce o una varilla de acero? La mayoría de la gente diría que la rama de sauce porque es flexible, fácil de doblar, y hace que la tarea realizable. Tratando de persuadir a los demás mientras era inflexible y rígida no funciona, ni tampoco la persuasión si no son flexibles. Muchas veces, una auditoría no van como se había planeado. Un buen ingeniero social será capaz de rodar con los golpes y ajustar sus objetivos y métodos, según sea necesario. Esto no vaya en contra de la idea de la planificación anticipada; en su lugar, revela el punto de no ser tan rígidos que cuando las cosas no salen como estaba previsto, puede mover y adaptar así el objetivo no se pierde.
La manera en que una persona pueda ver una persona demente es la manera en que un objetivo podrían ver el ingeniero social inflexible. El ingeniero social sería irrazonable y que probablemente nunca llegue a la final.
Ponerse en contacto con usted Poniéndose en contacto con usted, no estoy sugiriendo algunos meditación Zen Avenue, justo que comprender sus emociones. Control de emociones prácticamente todo lo que haces, así como todo su destino. Conociendo sus emociones y estar en contacto con usted puede ayudarle a sentar las bases para ser un ingeniero social efectiva. Volviendo al ejemplo anterior de usted y su amigo fumadoracercándose a tu amigo si tiene un profundo odio hacia aquellos que fuman afecta su enfoque. Le puede hacer actuar, expresar, decir o hacer algo que le cerrará la puerta a la persuasión. Usted nunca podría transigir en ciertas cosas, y ser consciente de estas cosas y sus emociones sobre ellos puede ayudarle a desarrollar un camino claro para influir en el destino. Estos cinco fundamentos son clave para entender la influencia y la persuasión. Ser capaz de crear un ambiente donde un destino quiere hacer lo que usted está pidiendo es el objetivo de la persuasión, y estos cinco fundamentos le ayudará a crear ese entorno. La sección siguiente examina cómo los ingenieros sociales utilizan estos fundamentos.
Tácticas de influencia Como se mencionó, los ingenieros sociales se deben poner en práctica las habilidades de persuasión hasta
Pasa a formar parte de sus hábitos cotidianos. Esto no significa que no debe influir en todo el mundo en todo lo que hacen, pero ser capaz de activar esta habilidad a voluntad es una potente característica de un buen ingeniero social. La influencia y la persuasión tienen muchos aspectos puede utilizar y muchos que encajan fácilmente en una auditoría. Otros aspectos pueden no encajan demasiado fácilmente, pero mantenga una posición muy poderosa en el mundo de la influencia. Las siguientes secciones cubren ocho diferentes técnicas de influencia que se utilizan con frecuencia por los medios de comunicación, políticos, gobierno, estafadores, estafadores, y por supuesto, los ingenieros sociales.
Cada sección se ofrece un análisis de cada técnica para ver cómo se utiliza en otras áreas de influencia, además de ingeniería social, así como toma un vistazo a cómo se puede aplicar a un ingeniero social.
Reciprocidad La reciprocidad es la inherente la expectativa de que cuando otros te traten bien que usted responda en especie. Un ejemplo sencillo es cuando usted está caminando en un edificio- si alguien tiene una puerta abierta para usted, él espera que le digamos gracias y, a continuación, asegúrese de que la próxima puerta permanece abierta para él cuando entra en escena.
La regla de la reciprocidad es importante porque a menudo el favor devuelto se realiza inconscientemente. Sabiendo esto significa que ahora tienen un paso sobre cómo se puede utilizar como un ingeniero social. Antes de entrar en eso, sin embargo, aquí hay algunos ejemplos donde la reciprocidad es a menudo utilizado: Las empresas farmacéuticas gastarán $10.000-$15.000 al doctor (sí, por médico) sobre "regalos" que podría incluir cenas, libros, computadoras, sombreros, ropa y otros artículos que tienen el logotipo de la compañía de drogas. Cuando llega el momento de elegir un fármaco para apoyar y comprar, a quién crees que los médicos son más propensos a ir? Los políticos están influidos en gran medida de la misma manera. No es ningún secreto que muchas veces los políticos o los cabilderos son más favorables a las personas que ayudaron a su campaña política que aquellos que no lo hicieron.
La reciprocidad se utiliza a menudo en los negocios, especialmente cuando se trata de cuestiones de contratos. Tal
vez el chico de ventas va a pagar por una comida, y luego pedir una concesión en el contrato. El cliente está obligado a dar esta concesión. Un colega de trabajo completada una semana cuando se necesitaba un día de descanso. Ahora ella le pide que devuelva el favor, pero tienes planes. En esta situación, la gente va a reprogramar y honrar la petición. Todos estos son ejemplos de la reciprocidad. El sociólogo Alvin Gouldner escribió un
Ponencia denominada, "La norma de reciprocidad" ( Http://media.pfeiffer.edu/lridener/courses/normrecp.html ) en la que afirma:
Concretamente, sugiero que una norma de reciprocidad, en su forma universal, hace dos cuestiones interrelacionadas, exigencias mínimas: (1) La gente debería ayudar a aquellos que les han ayudado, y (2) la gente no debe lesionar a quienes les han ayudado. Genéricamente, la norma de reciprocidad puede ser concebido como una dimensión que se encuentra en todos los sistemas de valores y, en particular, como uno más entre un número de "Componentes Principales" universalmente presente en los códigos morales.
Básicamente, su investigación le llevó a ver que la reciprocidad funciona a pesar de los antecedentes culturales. Reciprocidad, utilizados en las circunstancias adecuadas, es prácticamente imposible de resistir. Piense de la reciprocidad como el proceso que se muestra en la Figura 6-1 . Figura 6-1: El ciclo de reciprocidad.
Las secciones siguientes se amplían en algunos puntos esenciales de la idea anterior.
Dar algo lejos Lo que no se puede regalar algunas simple pedazo de basura. La cosa dada debe tener valor para el destinatario. Regala un hermoso hardcover novela escrita en una lengua que el destinatario no puede leer o recoger es inútil. El tema puede ser un servicio, un elemento físico, algunos valiosa información, asistencia o cualquier otra cosa que el receptor se considere como un valor (incluso algo tan simple como la celebración de la puerta o recoger algo caído). Algunas organizaciones de ventas de promover este método pero luego se quedan cortos al ofrecer algo que no tiene ningún valor. Imagina que estás en una feria y en cada mesa es un regalo. Si usted camina hasta una mesa y observa un montón de plumas de aspecto barato puede simplemente caminar por. La siguiente tabla tiene un interesante rompecabezas-como juego. Usted está intrigado por lo que recogerlo; después de pasar unos minutos jugando con él un vendedor enfoques y dice, "¿Quieres una pista?" Después de mostrar una pequeña sugerencia le pregunta si tiene un minuto, así que él puede mostrar un servicio puede realmente el amor.
¿Cómo puedes decir que no? Usted obtiene un juego intrigante y una pista libre, y ahora todo lo que quiere es un minuto de tu tiempo? Es una perfecta instalación.
Crear sentimientos endeudados El regalo más valor tiene para el destinatario y el más inesperado es, mayor es la sensación de endeudamiento. No permitir que el regalo para ser utilizados en una evidente manipulación táctica es importante. No dicen o actúan como, "Yo le dio este gran regalo ahora usted me debe". Incluso pensando que puede quitarle cualquier sentimiento de endeudamiento. El "don" debería ser totalmente gratuito y de gran valor para el destinatario. La Humane Society de los Estados Unidos, por ejemplo, etiquetas postales personalizadas regala como un don gratuito. Las cadenas no están conectados y muchas personas los usan para tarjetas postales o cartas personales. Son atractivas y de buena calidad. Suscribirse a ellas, y muchos meses más tarde recibirá una llamada solicitando un donativo para apoyar a su oficina local de la sociedad humana. El sentido de la obligación del destinatario generalmente es demasiado grande para no contribuir ni siquiera un poco.
A modo de otro ejemplo, la revista Fortune ofrece a los profesores universitarios de su revista temas gratis para
probar en sus clases sin ataduras a todos. Muchos ejemplos de la reciprocidad como estos existen. Por otro lado, muchas empresas fallan en reciprocidad por pensar cosas como las siguientes son buenos regalos: Sharp-mirando y coloridos brochures corporativos
Juguetes y baratijas inútiles La literatura de ventas sobre sus productos o empresa Estas cosas no construir el endeudamiento. El destinatario debe considerar que el "don" valioso. Otra fuente de "regalos" que puede construir la verdadera deuda es la información. Regalar un valioso, benéficos o dato útil, literalmente, pueden ser de más interés que un regalo físico para algunos.
Pida lo que desee En una ocasión, como yo estaba entrando en un edificio, vi a un hombre que parecía muy mucho para ser el "jefe" sale de su coche aparcado en el lugar marcado "Sólo para CFO", y él fue a su teléfono celular. Él no era un hombre feliz, y oí a él diciéndole a alguien que estaba molesto porque había tenido que ir dentro y dejar a algunas personas. Asumí de su tono que estaba con su esposa o novia y no le gustaba el trabajo que iba a hacer. Caminé más allá de él y fuimos a recepción y caminé hasta que vi que la chica detrás del mostrador estaba jugando Buscaminas. Como he abordado el contador me dio la norma, "¿Cómo puedo ayudarle?" Ella tenía una mirada en su rostro, que dijo que estaba aburrido y no en el estado de ánimo. Yo les dije, "Miren, yo estoy aquí para una reunión, pero su jefe está a punto de paseo y él está en un mal humor…" Entonces me arrastró fuera y sólo estaba allí con una carpeta en mi mano. Unos segundos después, el jefe irrumpió en la puerta delantera y me dijo en voz alta, "muchas gracias por su ayuda."
Ella miró y me dijo: "Disculpe, señor," le dijo a su jefe, "Buenos días, el Sr. Smith, tengo sus mensajes", y luego le entregó un pequeño montón de papel como él anduvo. Cuando desapareció de su oficina me agradeció profusamente. Acabo de guardar y ella lo sabía. La información que le di es inestimable, y mis próximas palabras sería imperativa: "Necesito tu ayuda. Yo quería ver la HR Manager sólo para una breve reunión. Me puedes conseguir en su oficina rápida real?".
Ella caminó conmigo a la oficina del gerente y me presentó como "su amigo" que detuvo en. A pocos minutos de mi plan fue lanzado, y todo gracias a la reciprocidad. Como un ingeniero social, busque pocas oportunidades para dar a conocer información que te hará valioso para el destinatario y, lo que es más importante, hacer el destinatario en deuda con usted.
Sea consciente de su entorno y qué pocas cosas que usted puede hacer para que sus objetivos en deuda con usted. Recuerde que no tiene que ser algo increíble, algo que valoran. Un buen punto a tener en cuenta es
No "acechar" el destino. De pie y mirando a él o ella, esperando una oportunidad para hacer o decir algo que puede ser desagradable. Estos principios deben ser naturales. Naturalidad significa que usted comience a realizar estos principios en la vida cotidiana. Mantenga las puertas para la gente, ser muy educado, y buscar oportunidades para hacer cosas buenas para los demás. Estas acciones se convertirá en una segunda naturaleza y usted tendrá menos luchas haciéndolas en una auditoría.
La reciprocidad es una influencia poderosa táctica, y los próximos dos principios examinados están estrechamente vinculados a ella. Obligación La obligación tiene que ver con acciones uno siente que necesita tomar debido a algún tipo de social, jurídica o moral, el deber, la obligación, contrato o promesa. En el contexto de la ingeniería social, la obligación está estrechamente relacionada con la reciprocidad, pero no se limita a ella. Obligación puede ser tan simple como la celebración de una puerta exterior para alguien, que generalmente hará que él mantenga la puerta interior para usted. Puede ser escalado a alguien dándole la información privada porque cree en ellas un sentido de obligación hacia usted. La obligación es un vector de ataque común utilizada cuando se aplican a las personas de servicio a cliente.
También puede utilizar la obligación en pequeñas dosis utilizando smart complementando. Por ejemplo, felicitar a la persona y, a continuación, seguir con una petición. Esta técnica es muy fácil de hacer el mal, si son nuevos o inexpertos y puede venir a través tan falsa que avisa el sentido interior del destino y tiene el mal efecto. Pero si se hace correctamente, puede llevar a obtener incluso pequeños trozos de información valiosa. Un ejemplo de complementar en forma errónea sería algo como, "Wow, tienes los ojos hermosos, puedo entrar en su sala de servidores?" Suena estúpido, ¿eh? Asegúrese de decirle a su método en voz alta para ver cómo suena. Si suena como una línea de captura barato entonces se tiene que ir.
Una pequeña conversación como esta, por otro lado, puede ser una manera adecuada de elogio: A medida que te acercas al escritorio de recepción, puedes ver
algunas fotos de un par de niños pequeños en Disney World y después Preséntese usted dice, "son aquellos que sus hijos? Son realmente lindo." Independientemente de si son los niños del recepcionista o sus sobrinos, lo más probable es que disfrute de su elogio. A continuación, le dan seguimiento con, "Tengo un par de mi propio. Nos mantienen jóvenes, ¿eh?". "Sí, mis dos hijos. Y no estoy seguro acerca de jóvenes," ella sonríe, "pero ellos
¿me tiro". "No he tomado mina a Disney todavía", digo yo. "Did you find disfrutaron de ella a esa edad?". "Oh, sí, me encantó cada segundo de ella", dice el recepcionista. "Mientras mi hija está con su papi, es diversión". "Ah, sí, tengo mi pequeña princesa demasiado", yo respondo. "Bueno, yo podría estar aquí y hablar de mis hijos todo el día, pero me pregunto si me puede ayudar. Llamé y hablé con alguien la semana pasada acerca de un nuevo paquete de software de RRHH y me dijo que yo podría caer este paquete informativo, pero he perdido el papel que escribí su nombre. Estoy terriblemente avergonzados".
"Oh, eso es probablemente la Sra. Smith", ofrece el recepcionista. "Ella se encarga de todos". "Tú eres un salvavidas. Le debo una. Gracias." Estos tipos de elogios recorrer un largo camino para abrir el destino para ser más agradable a la influencia. La regla de oro, trata a los demás como te gustaría ser tratada, es un principio clave en la creación de la obligación. Tratar a las personas con amabilidad y dándoles algo que necesite, incluso si es tan pequeña como un elogio, puede crear un sentido de obligación hacia usted. Psicólogo Steve Bressert hace este punto en su artículo "la persuasión y cómo influir en los demás", en la que afirma, "según la Asociación Americana de Veteranos Discapacitados organización, enviar un correo con un simple llamado a donaciones produce un 18% de tasa de éxito. Adjunto un pequeño regalo, tales como etiquetas de direcciones personalizadas, casi duplica la tasa de éxito de 35%. 'Desde que me envió algunas etiquetas de direcciones útiles, te voy a enviar una pequeña donación a cambio". Si quieres probar a sí mismo el poder de este principio pruebe este ejercicio tan simple. Incluso algo tan pequeño como una pregunta puede crear obligación. La próxima vez que alguien le haga una pregunta, no dicen nada. Acaba de quedarse callado o ignorarlo y avanzar en la conversación. Observe cómo extraño que es; algo tan simple como una cuestión crea un sentido de obligación de responder. Pide simplemente el destino una pregunta puede conducir a resultados sorprendentes. Si su primera acción crea una sensación de que hay previsto un seguimiento y, a continuación, haga cumplir esa expectativa puede provocar fuertes sentimientos de obligación. Cuando la persona con quien estás interactuando espera un resultado satisfactorio, puede crear un fuerte sentido de compromiso
en él o ella a hacer lo mismo para usted. Este método puede ser utilizado, por ejemplo, enviando el CFO de una compañía un pedazo de tecnología, tal vez un iPod cargado con software malicioso. Cuando llega el regalo que él está obligado a enchufarlo. Un vector de ataque exitoso I
Vio en juego era donde el ingeniero social envió un pequeño regalo correspondiente al director financiero o director general con una tarjeta que decía, "Por favor, acepte un pequeño regalo de nuestra empresa. Todo lo que pedimos es que usted conozca nuestros productos en www.products.com y descargue nuestro catálogo en formato PDF aquí en Www.products.com/catalog.pdf . Le llamaré la próxima semana".
Este método fue correcta en todo momento. Concesión Una concesión , o el acto de ceder, se define como "un reconocimiento o admisión", o "el acto de ceder." Las concesiones se utiliza a menudo en el contexto de la ingeniería social como un juego de la reciprocidad el instinto de los seres humanos. Los seres humanos parecen tener una función incorporada que hace que ellos quieren "no hagas a otros lo que hacen á". Un ingeniero social puede utilizar el "algo por algo" o la idea de "voy a rascar tu espalda Si te rascas la mía" principio.
Hay principios básicos para las concesiones y cómo usarlos correctamente: Etiquetar sus concesiones: hacer conocer qué y cuándo usted está admitiendo, lo que hace difícil para su marca a ignorar la necesidad de reciprocar. Esto tomará el balance porque usted no desea soplar una trompeta, por así decirlo, mientras usted anunciar una concesión, sino una simple declaración como, "Ok, te doy esto", o "te encontraré a mitad de camino", demuestran que están dispuestos a ceder. Demanda y definir la reciprocidad: puede empezar por sembrar las semillas de la reciprocidad y esto aumenta las posibilidades de obtener algo a cambio. Una manera fácil de empezar a plantar estas semillas es a través de la comunicación no verbal, mostrando que eres flexible, y también por ser un buen oyente. Estas pequeñas cosas pueden hacer una gran diferencia cuando se crean sentimientos de reciprocidad en su destino. Hacer concesiones contingentes: puede utilizar "sin riesgo" las concesiones cuando la confianza es baja o cuando se necesita para dar la señal de que usted está listo para hacer otras concesiones. Lo que quiero decir con esto es una concesión que no vienen con un "ahora puedes hacer algo por mí" actitud. Por dar en el blanco a algo que quiere o necesita sin demanda de contador, puede generar un fuerte vínculo con
el destino. Hacer concesiones en cuotas: la idea de reciprocidad está profundamente arraigada en nuestras mentes. La mayoría de la gente siente que si alguien les hace un favor entonces son socialmente contratado eventualmente volver a ese favor. Del mismo modo, si alguien hace una concesión, dicen en una negociación o acuerdo de negociación instintivamente, entonces uno se siente obligado a
"budge" un poco, demasiado. Dado que este es un hecho, no tienes que sentir que todas las concesiones deben ser a la vez. Puede hacer "plazos" con sus concesiones, cuando usted da un poco de aquí y un poco más de tiempo para mantener su meta de reciprocar. Las concesiones son utilizadas a diario por los vendedores, los negociadores y los ingenieros sociales. Un ingeniero social exitoso puede usar y abusar de esta tendencia instintiva por parte no sólo de resistir a las manipulaciones que se colocan en ellos por los demás, sino también tratando de asumir la situación completamente. Concesión y reciprocidad habilidades jugar bien con muchas de las otras técnicas de ingeniería social discutido dentro de las páginas de este libro. Un ejemplo de cómo muchas personas caen por las concesiones pueden ser ilustradas con los televendedores que piden donaciones. Ellos usan una estrategia para obtener concesiones después de que alguien es primero la oportunidad de rechazar una petición grande. El mismo solicitante contraofertas con una petición más pequeñas que son más propensos a aceptar que la gran demanda.
Gran solicitud: "Se puede donar $200 a nuestra caridad?" Respuesta: "No, no puedo". Menor solicitud: "Oh, lo siento señor, y yo lo entiendo. Sólo se puede donar $20?". Las personas que no son conscientes de esta técnica podría sentir la carga se retira de ellos y se dan cuenta de que pueden parte con apenas 20 dólares más que el precio inicial de 200 dólares. Otro gran ejemplo apareció en un artículo ( Http://ezinearticles.com/? cómo negociar el Salary-Using-el-poder-dela-norma de reciprocidad&id=2449465 ) escrito por David Hill: La potencia de esta norma puede ser sentida en la mayoría de situaciones de negociación. Asumir un comprador y un vendedor son regateando el precio de un coche. El vendedor comienza con una oferta de 24.000 dólares. El comprador considera esta oferta inaceptable y pone un contador puja en 15.000 dólares. Ahora, el vendedor reduce su oferta a $20.000, es decir, él hace una concesión. En este caso, el comprador suele sentirse inclinados a aumentar su oferta, quizás a $17,000. La razón por la que el comprador se sentirá esta inclinación es debido a la presencia de la norma de reciprocidad. Esta norma exige ahora que el comprador responde a la
concesión del vendedor con otra concesión.
Como con la mayoría de los principios mencionados hasta ahora, la concesión debe ser valioso para el receptor. No se puede ceder algo que es valioso sólo a usted o usted pierde la potencia que ganar con una buena concesión. Como un ingeniero social, no dando una concesión que le hará perder
Cara, rapport, o su posición es también imprescindible. Un delicado equilibrio que debe existir entre la concesión y su pie con el destino, y encontrar que es la mitad del trabajo. Parece, sin embargo, concesiones y puede ser una herramienta muy graves en sus manos.
La escasez La gente suele buscar objetos y oportunidades más atractivas si son raros, escasos, o difícil de obtener. Esta es la razón por la que verá los anuncios de radio y periódicos de lleno con "el último día", "Tiempo limitado", "sólo 3 días de venta," y "la salida del negocio Forever" los mensajes que incitan a la gente vienen de todas partes para obtener una cuota de la pronto-a-sernunca-visto de nuevo producto. El uso de la escasez en el contexto de ventas es mejor conocida con el eslogan "Actuar ahora! Los suministros son limitados!" Otras técnicas son el común "Los primeros X las personas que llamen recibirán gratis un widget," o tener un cortocircuito intencional el suministro de un producto muy popular. En los últimos tiempos, esta práctica fue más popularmente alegadas con la Wii de Nintendo. Jason Dobson, un escritor de Gamasutra, dijo, "pero creo que [Nintendo] intencionalmente alimentación secos porque hicieron sus números para el año. El nuevo año comienza el 1 de abril, y creo que vamos a ver oferta historia Www.gamasutra.com/php-bin/news_index.php? fluyendo" (=13297 ).
Donde yo vivo, un concesionario de coches publicó un anuncio el jueves declarando que tuvo que deshacerse de X número de coches debido a acciones nuevas que llegan. Los precios eran muy bajos y algunos de los autos que espere-ya no se producían, y ese fin de semana fue el último fin de semana que nunca puede venir en un pedazo de auto-venta de la historia. Las ventas atravesó el techo ese fin de semana, así que la venta fue de más a la derecha? Nope, anuncio que pasaba cada jueves durante más de tres meses. A menudo me preguntaba cómo la gente simplemente no logró captar, pero el concesionario vende un montón de coches utilizando este método. Eventos sociales pueden a menudo parecen estar más exclusiva si la escasez es introducido. La percepción de la prestación social de asistir a estos eventos con frecuencia va en estas circunstancias. En publicidad, este punto es impulsado a casa con los anuncios de eventos musicales que señalan cómo el último concierto se agotó rápidamente.
Muchos restaurantes populares han sido conocidos para cerrar las
secciones del restaurante aparezcan más ocupados de lo que realmente son. La percepción de que son extremadamente populares a menudo puede desencadenar un mayor deseo de comer en ese establecimiento. Para ver un anuncio que realmente se menciona el uso de escasez en la promoción de un evento, vaya a www.sociales-
Engineer.org/wiki/archives/Scarcity/Scarcity-Advertisment.html .
Este anuncio reproducido en cuatro componentes principales de la escasez: El lanzamiento de un acceso limitado. La aplicación no es pública y solamente limitadas. Los promotores son seleccionados y limitada. El e-book está libre para aquellos que tienen la suerte de ser elegido para venir.
Todos estos puntos de uso escasez haciendo los juerguistas sentir que entrar en este evento es tan difícil que sólo la elite, los pocos, y el orgullo puede tener incluso una remota posibilidad de pie paso a paso en ese camposanto. Los fundamentos de la economía están constituidos por la asignación de recursos que tienen usos alternativos. Esta asignación es impulsada por la escasez de los objetos que están siendo asignados. Al menos frecuente el recurso, mayor será el valor percibido del objeto conserva. Esta rareza es por qué el oro vale más que la sal, que vale más que la arcilla. También, dentro de las interacciones cotidianas escasez se utiliza a menudo. La escasez puede ser introducida en las situaciones sociales en un intento de hacer algo que uno se sube en valor. Por ejemplo, uno podría actuar como él está muy ocupado en una base regular, y el tiempo libre es difícil de alcanzar. Esta acción puede excusar a él de no pasar tiempo con alguien que pueda tener la obligación de pasar tiempo con, y al mismo tiempo hacer que el tiempo que se emplea en la que parecen mucho más valioso. Puede manipular la atención mediante el uso de la escasez. Pensar en cómo muchas personas se quejan de los vendedores les molesta en la tienda cuando no hay escasez de atención de vendedores, sin embargo, son tan molestos cuando son ignorados por los vendedores cuando su atención es escasa. En general, las personas se ven impulsadas a deseo que es dificil de conseguir, porque se considera que tienen más valor. Esto es cierto para la atención.
La escasez se utiliza a menudo en contextos de ingeniería social para crear una sensación de urgencia en un contexto de toma de decisiones. Esta urgencia a menudo puede conducir a la manipulación del proceso de toma de decisiones, permitiendo que el ingeniero social para el control de la información proporcionada a la víctima. Esto se realiza normalmente mediante una mezcla de autoridad y la escasez de principios. Por ejemplo, decir algo como, "el CFO, el Sr. Smith, me llamó antes de que partiera para el fin de semana largo y me dijo que me venga abajo y solucionar su
problema de correo electrónico. Él dijo que estaba harto de los bloqueos y quería que se fija antes del lunes." Esto crea urgencia junto a la escasez en que el CFO no está disponible para hablar y el tiempo es escaso elemento. Con escasez mezclado con otros principios también pueden realizar el ataque incluso
Más mortífera. De cualquier manera, la escasez crea un deseo y ese deseo puede llevar a alguien a tomar una decisión que podría pesar más tarde. Esto fue demostrado a mí recientemente cuando un camión se paró en mi camino con un congelador en la parte de atrás. Esta decentemente vestidos hombre joven se acercó a mi esposa y explicó que él es un vendedor de carne. Él ofrece a los clientes de carne y estaba a punto de regresar a la oficina y vio a su trabajo en el patio. Él comenzó a hablar acerca de los precios de la carne y lo caro que son las cosas en la tienda. Mi esposa es muy consciente de precio, de modo que este comprador construido rapport. Además tenía un acento sureño muy agradable y la llamó "ma'am" y fue muy respetuoso.
Después de unos minutos de hablar, ella blurts fuera la pregunta que usualmente deja de vendedores muerto, "¿Cuánto quieres?". Sin perder demasiado de un latido dice, "Oigan, he estado vendiendo estas todo el día por $400 por caja, pero este es mi último cuadro. Me encantaría poder volver a la oficina con un vacío en el congelador y darle un poco de carne de alta calidad en el ínterin". Oh, no, el último cuadro! Él le dijo antes de que Él sólo viene a través de una vez cada dos meses. El deseo ha sido planteada, pero mi esposa no es falso. Ella sabía que estaba siendo manipulado. Ella se excusó y vinieron a buscarme.
Él pasó por su spiel y colocados en la escasez de espesor. Por supuesto, este tipo de cuenta puede ser una lección sobre cómo no caer por esta táctica. El problema es que la emoción se involucre. Él ve que tengo una barbacoa exterior que parece utilizada, así que él sabe que me encanta cocinar fuera y juega en ello. Después habla de la calidad de la carne y hace comparaciones rápidamente al restaurante calidad y lo que está en sus cuadros. Muchas personas podrían caer fácilmente en el aspecto emocional de su echada de ventas. "Lo que si es su último uno?" "Él tiene razón, es mucho más barato que comer fuera de casa." "Él viene a mí…no tengo ni siquiera para ir a la tienda". En lugar de ello, me sacó de repente una calculadora y le preguntó por el importe de las dos últimas casillas, dividido por el peso y luego mi esposa preguntó cuánto le paga normalmente por libra de Delmonico o chuletón en la tienda. Cuando su precio era menor de 3,00 dólares por libra, yo simplemente callar. Ahora sus emociones se involucren. Él codifica para salvar la cara. Él reduce su precio de $150 del bate. Vuelvo a hacer los cálculos y todavía es más de $0.50 por libra.
Se trata de hablar de la calidad, la comodidad, y todos aquellos aspectos que hacen que valga la pena el $0.50 más. Puedo cambiar mi postura y posición para estar lejos de él y mostrar desinterés. Sin decir nada, él trails off al final de una débil spiel y me ofrece otro $50 de descuento. Yo le digo, "Lo siento, yo simplemente no creo que merece la pena".
Entonces, ¿el error clásico que muestra cómo sus reclamaciones de escasez eran falsos-cuevas en más. "¿Cuánto quieres pagar por estos cuadros?". "Yo probablemente podría hacer $100". "Si usted me puede dar por $125 podemos llamarlo un trato". Ahora cuenta que hace poco estuvo en $400 por caja y fueron los dos últimos en esta zona durante dos a tres meses. Esto debería haber sido una guerra de pujas por ese valor, pero, en cambio, me lo envió con su embalaje dos cajas de carne y no efectivo.
La lección de esta historia para los ingenieros sociales es que por la escasez de trabajo o bien tiene que ser real, o usted tiene que atenerse a sus armas para dar la apariencia de la realidad. Las personas se perciben el valor superior cuando algo es realmente necesitados. Un ejemplo de esto es malintencionado cómo las petroleras elevaron los precios de combustible después del Huracán Katrina. El reclamo fue que el combustible estaba en escasez debido a la destrucción que causó terribles aumentos de precios. Por supuesto, si esto fuera cierto entonces el combustible sería valen mucho más de lo que lo es; en lugar de eso fue un ejemplo de la reclamación de la escasez, utilizado para hacer dinero. Pero, al mismo tiempo, cuando BP's error causado millones de galones de petróleo que se perdieron en el Golfo de México, arruinando el ecosistema, en lugar de combustible precios exorbitantes debido a la falta de suministro, se les cayó. ¿Cómo? Y no quiero entrar en eso aquí, pero resulta que para la escasez de trabajo, tiene que ser creíble, y donde las compañías petroleras fallan y donde los ingenieros sociales pueden fallar también. Desde un punto de vista del ingeniero social, más limitada o difícil es obtener una oportunidad más valor tendrá a la gente. Si la información se considera como privado, restringido y difíciles de conseguir, y que están dispuestos a compartirlo con alguien, que acaba ganando mucho valor en sus ojos.
Un ingeniero social puede aprovechar la escasez de información mediante una declaración como, "se supone que no tengo que estar diciendo esto pero…" o "no estoy seguro de si ha escuchado esta noticia, pero escuché…" declaraciones como éstas hablan en voz baja implica que esta información es escasa.
Autoridad La gente está más dispuesta a seguir las instrucciones o recomendaciones de alguien que ven como una autoridad. Encontrar a una persona que tiene suficiente asertividad para cuestionar la autoridad directamente, especialmente cuando esa autoridad tiene poder directo sobre él o se encuentra cara a cara con él, es infrecuente.
Por ejemplo, los niños son enseñados a obedecer a los adultos, como profesores,
Los consejeros, sacerdotes, y niñeras porque tienen autoridad sobre ellos. A menudo, cuestionando la autoridad se considera irrespetuoso y la abyecta obediencia es lo que es recompensado. Estos principios llevan a la vida adulta porque se nos enseña a respetar a las figuras de autoridad y no cuestionar las reglas o las órdenes dadas a nosotros por aquellos a quienes consideramos competentes.
Lamentablemente, este es el principio lleva a muchos niños en manos de abusadores y pederastas. Por supuesto, no este principio únicamente, pero aquellos que se aprovechan de los niños se dan cuenta de cómo los niños aprenden acerca de la autoridad y a menudo buscan a aquellos que parecen ser más compatible. Del mismo modo, los ingenieros sociales malintencionados utilizan este principio para manipular sus objetivos para tomar alguna acción o inacción que puede conducir a una violación. Comprender cómo la autoridad se utiliza desde un aspecto de ingeniería social es importante. El economista político y sociólogo alemán, Max Weber, la autoridad definida en categorías que he adaptado para ajustar más estrechamente en el ámbito de la ingeniería social.
Autoridad legal Autoridad legal se basa en el gobierno y la ley. Esto se aplica en general a los funcionarios encargados de hacer cumplir la ley o a otras personas que hacen cumplir las leyes del país, la zona o área en que se encuentra. Como un ingeniero social, pretextos que implican la aplicación de la ley u otros funcionarios del gobierno suelen ser ilegales. Sin embargo, guardias de seguridad, seguridad bancaria, u otros tipos de imposición a las figuras de autoridad pueden ser bien representados y son utilizados a menudo por los ingenieros sociales. En un episodio del programa de televisión de la BBC el verdadero ajetreo, Paul Wilson y sus secuaces disfrazados como los guardias que recoger el dinero. Cuando alguien se muestra en los uniformes similares a los reales y actúa como una persona normal en esa posición autorizada actuaría blancos tienen pocos motivos para poner en duda el impostor es quien "dice" que es. Actuando como una figura de autoridad es una gran estratagema utilizada por los ingenieros sociales para acceder a una empresa. Otra estratagema que puede ser eficaz está haciéndose pasar por un abogado, quien busca cierta información. Jugando un rol que
generalmente es temido y respetado por las masas pueden ser una forma de autoridad legal estratagema es utilizado.
La autoridad organizacional La autoridad organizacional es simplemente cualquier autoridad definida por medio de una organización. Normalmente, esto se refiere a una jerarquía de supervisión.
Alguien
dentro
de
Una posición de poder en una organización tiene más poder y el acceso a más información que alguien en la parte inferior de la jerarquía. En una auditoría de ingeniería social, un consultor puede suplantar el CIO o alguien con una clara definición de la autoridad organizacional. El consultor podrá entonces ser capaz de obtener contraseñas u otra información del help desk o cualquier otro empleado que pueden percibir que la persona representada tiene autoridad sobre él o ella. En un documento titulado "La "ingeniería social" de los fraudes en Internet" Jonathan J. Rusch del Departamento de Justicia de los Estados Unidos, escribe que "la gente está muy probablemente en la situación correcta, ser altamente sensible a las afirmaciones de la autoridad, incluso cuando la persona que pretende estar en una posición de autoridad no está físicamente presente" ( Www.isoc.org/inet99/proceedings/3g/3g_2.htm ).
Esta maniobra es usado en otras formas, no actuando como si el CFO, sino enviado o autorizado por el CFO. La autoridad que ejerce el nombre y el título puede ser suficiente para conceder esa facultad a la atacante en los ojos de la meta. Rusch cita un experimento realizado por Robert B. Cialdini y grabado en su libro influencia (1993), que mostró que el 95 por ciento de las enfermeras dentro de 22 estaciones desde tres diferentes hospitales estaban dispuestos a administrar a los pacientes una peligrosa dosis de medicamento basado en una llamada telefónica de un investigador que pretende ser un médico las enfermeras que nunca había conocido.
Este experimento demuestra claramente que, sobre la base de órdenes y la percepción de la noción de autoridad, la gente podría tomar ciertas medidas a pesar de su mejor juicio. Este tipo de autoridad puede y suele utilizarse para explotar las compañías a regalar valiosos datos.
La autoridad social La autoridad social se refiere a los "líderes" nato de cualquier grupo social. Un grupo social podría consistir de compañeros de trabajo, amigos de la universidad, o cualquier otro grupo de personas. En influencia , Cialdini escribe, "a la hora de reaccionar a la autoridad de manera automática hay una tendencia a menudo
hacerlo en respuesta a los meros símbolos de autoridad en lugar de a su sustancia". Para la autoridad social que produce, una cantidad extraordinaria de tiempo o estructura puede no ser necesaria para definir una figura autoritaria. En cualquier escenario, un rápido destello de prueba social , donde la gente está influenciada por un grupo de personas que toman la misma acción, puede ayudar a una persona la autoridad social.
La autoridad social puede ser utilizado para una ventaja en la ingeniería social por
Preguntar o presionar el destino de la información. Si el destino se niega y, por tanto, no es apreciado por el líder del grupo, el objetivo puede caer fuera de favor con todo el grupo. Cumpliendo con el líder de la autoridad social se considera ventajosa. La autoridad social se utiliza correctamente cuando sea directamente explícita o implícitamente que una persona o grupo anterior reaccionó de la forma en que el atacante está pidiendo. "Ayer el CFO me envió a ocuparse de este problema y Joe, déjenme pasar y él revisó todas mis credenciales, consiguió poner en archivo?" como una simple declaración que utiliza algunas de las formas de autoridad. Si usted cumple con las autoridades tontamente, puede responder a los símbolos de autoridad más que a la realidad. Tres símbolos de autoridad son especialmente eficaces en los países occidentales, puede recompensar a las personas con alguna de estas (y ninguna otra prueba de autoridad para su cumplimiento:
Títulos Ropa Automóviles En una entrevista celebrada con la Dra. Ellen Langer, psicólogo de la Universidad de Harvard e investigador de la persuasión y la influencia ( Www.social-engineer.org/episode-007-using-persuasionon-the-mindless-masses ), habló extensamente sobre la irreflexión. Ella dijo que la gente suele hacer mucho de su trabajo en un estado donde no hay mucho pensamiento; en otras palabras, están en piloto automático. En estas posiciones, el abuso de la autoridad rol es muy peligroso. Autoridad percibida puede hacer alguien en el autopilot reaccionar sin límites. Utilizar la ropa adecuada, el lenguaje corporal, e incluso habiendo una falsa tarjeta impresa ha trabajado para muchos ingenieros sociales para presentar una postura de autoridad y mantener sus objetivos en piloto automático. Otras formas de autoridad pueden entrar en juego para un ingeniero social que los descritos aquí, pero estos son los más comúnmente utilizados. La autoridad es una fuerza muy poderosa cuando se trata de influir en los demás, y con un poco de razonamiento y la recopilación de información, un ingeniero social puede utilizar eficazmente una autoridad pretexto para su ventaja.
El compromiso y la coherencia
La gente valora la coherencia en los demás, y también quieren parecen estar en consonancia con su propio comportamiento. Generalmente la gente probablemente desea que sus palabras, sus actitudes y acciones que sean coherentes y congruentes. Coherencia reduce la necesidad de volver a procesar la información y ofrece accesos directos a través de decisiones complejas.
Gut sentimientos, esos momentos donde te das cuenta de que una acción es buena o mala, o bien o mal, basado en la experiencia del pasado son a menudo indicadores que una decisión podría ser cometidos anteriormente contra los sentimientos y creencias. Estas señales suelen indicar que se sienten empujados a aceptar algo que no desea. Gut Feelings también puede ocurrir cuando se trata de hacer compromisos. Gut sentimientos puede indicar que usted no está seguro de si su compromiso fue un error. Usted puede preguntarse, " sabiendo lo que ahora sé, si yo pudiera hacer eso de nuevo, quiero hacer el mismo compromiso? "
Antes de analizar cómo un ingeniero social puede utilizar la coherencia para obtener el compromiso de alguien, eche un vistazo a los tres ejemplos que podrían ayudar a alcanzar el punto de inicio. Marketing: Las empresas suelen gastar cantidades extraordinarias de dinero para ganar cuota de mercado. No hay retorno real, sino que lucha por permanecer en ese compartir que creen para ser rentables. Coca-Cola y Pepsi son excelentes ejemplos de la utilización de la comercialización a lo largo de las décadas en la lucha para seguir siendo visible, pero a menudo una oscilación no comercial a una persona a cambiar de Pepsi de coque. Debido a que las dos empresas se han "comprometido" a la guerra el uno contra el otro, parece que cuando uno de ellos sale con un nuevo producto o una nueva idea de mercadeo, el otro no está demasiado lejos. Subastas: La creciente popularidad de las casas de subastas en línea como eBay tiene este principio más visible. La gente siente un nivel de compromiso algo que pujar por ellos outbids y si alguien es como si están obligados a pujar de nuevo. A veces, incluso aumentará la oferta de manera más allá de su zona de confort porque se sienten comprometidos. Un ejemplo clásico de esto es cuando Robert Campeau compraron Bloomingdales. Él pagó $600 millones de dólares más de lo que valía. Max Bazerman, autor de negociar racionalmente citó a un periodista del Wall Street Journal como diciendo, "no estamos tratando con el precio ya, pero con el ego…". Los carnavales, casas de juego, y así sucesivamente: en cualquier momento Gambling o casas de juego están involucrados un mayor riesgo existe de compromiso y coherencia que se utiliza para persuadir a
la gente. Un columnista, Ryan Healy, un consultor de marketing online, escribió una historia acerca de cuando él llevó a su hija a un circo ( Www.ryanhealy.com/commitment-and-consistency/ ). Pasó de $44 en los tickets, $5 para aparcar su coche, luego de 40 minutos de tiempo en coche para llegar hasta allí. Él se ha comprometido a estar en el circo. Su hija quería Cotton Candy lo cometió un sí
Por darle $5. ¿Cómo podría Cotton Candy cuestan más que eso? Cuando el vendedor llegó y le dijo que la valija es de $12, ¿cómo pudo volver sobre su compromiso ahora? Él no podía, y por lo tanto terminamos gastando $12 en una sola Cotton Candy. La coherencia de esta pretensión es definido como lo que se espera sobre la base de experiencias previas o expectativas. Esa experiencia o expectativa puede motivar a un destino para tomar una acción que puede causar una ruptura. Por ejemplo, cuando el hombre viene de soporte técnico se espera que vaya a la sala de servidores. Esa petición es coherente con la experiencia anterior y las expectativas. Cuando el acceso a la sala del servidor es solicitado, es más probable que se cumpla porque es coherente con lo que se esperaba.
El compromiso y la coherencia pueden ser fuertes factores de influencia sobre la mayoría de la gente para tomar acciones, dar información, o divulgar secretos.
Un ingeniero social puede hacer el compromiso y la coherencia de algunas de las más poderosas herramientas de su arsenal. Si un ingeniero social puede conseguir un objetivo a comprometerse con algo pequeño, generalmente aumentando el compromiso no es demasiado difícil. En su libro influencia , Robert Cialdini escribe: La clave para utilizar los principios de compromiso y coherencia para manipular la gente se mantiene dentro del compromiso inicial. Que después de hacer un compromiso, tomando una postura o posición, la gente está más dispuesta a aceptar las solicitudes que sean coherentes con sus compromisos previos. Muchos profesionales de cumplimiento tratará de inducir a otros a tomar una posición inicial que es coherente con un comportamiento que solicitará más adelante. El ingeniero social esperando para emplear la técnica de compromiso y consistencia normalmente intenta conseguir el objetivo de divulgar una pequeña pieza de información hacia la meta global. Obteniendo el tema para ser coherentes con las cosas que él o ella ya se ha dicho, el atacante puede obtener el sujeto a revelar más información.
Por otro lado, el atacante debe seguir siendo coherente con lo que está pidiendo. El atacante debe empezar pequeños y escalar la recopilación de información. Para usar un ejemplo irreal, un atacante nunca debe comenzar pidiendo
los códigos de lanzamiento nuclear. Esta solicitud será denegada y el atacante será dejado pocas opciones pero para pedalear hacia atrás la solicitud. Sin embargo, empezando poco a poco y aumentando el valor de la información solicitada con cada nueva pieza de información recopilada se parece como una progresión más natural y no aparecerán tan obvio para la víctima.
Ir despacio y de forma progresiva puede ser duro como ingenieros sociales suelen ser impacientes y desea obtener la "contraseña" ahora. Jugar que se enfríe y paciente restante puede hacer esta avenida gratificante. Definir claramente, tal vez incluso escribir, una ruta que puede utilizar en cada auditoría puede ayudar a entrar en la auditoría con objetivos claramente definidos y un camino para lograrlos.
He creado un gráfico, se puede ver en la Figura 6-2, que muestra cómo un ingeniero social puede ser capaz de visualizar este camino para obtener información mediante el compromiso y la coherencia. Conseguir una meta a cometer verbalmente a una acción determinada puede forzar al objetivo en un determinado camino de la acción. Cialdini afirma, "El compromiso y la coherencia norma establece que una vez que se toma una decisión, vamos a experimentar la presión de los demás y a nosotros mismos a que se comporten de forma coherente con esa decisión. Puede ser presionados a hacer buenas o malas decisiones dependiendo de tus acciones pasadas". Tal vez usted ha sentido esto si nunca informó verbalmente a tu esposa o esposo que quiere perder peso. Que el "compromiso verbal" conduce a una gran presión para mantener hasta el final de la "ganga". A veces, finalizando en desacuerdo con usted mismo puede ser difícil y casi imposible. Todo el mundo tiene, en un momento u otro murmuró la frase, "lo siento, he cambiado de opinión", al menos una vez en nuestras vidas. Cuando lo hacemos, colgar la cabeza en vergüenza, nuestros tonos de voz, caída y nos parecen tristes. ¿Por qué? Hemos roto el compromiso que hemos hecho y nos sentimos culpables de hacerlo.
Figura 6-2: definir claramente sus objetivos pueden
ayudarle
a
obtener
un
compromiso
de
información.
Incluso pequeñas, aparentemente la explotación. Por ejemplo, algo parecido a esto:
Compromisos insignificantes pueden conducir a la conversación telefónica utilizada a menudo por los abogados Compromisos insignificantes pueden conducir a la conversación telefónica utilizada a menudo por los abogados
"Hola, ¿cómo estás?" le contestó, "Yo estoy haciendo grande".
Ahora, prepararse para el ataque: "Lo que es bueno para escuchar, porque algunas personas que no están haciendo tan grande puede usar su ayuda".
No se puede retroceder en lo que usted dice ahora, porque todavía están haciendo grandes y comprometidos con él. Esto no quiere decir que usted necesita ser tan paranoica que usted ni siquiera puede responder a preguntas sencillas sin el temor de la explotación, pero siendo conscientes de que un compromiso no significa que usted debe comprometerse a todo lo que sigue es vital. Una vez trabajé con un tío que literalmente podría obtener cualquier persona a hacer los peores trabajos y les haga pensar que era su idea. Asegurar su compromiso es uno de los métodos que ha utilizado. Si te has comprometido a un camino de coincidir con él en algunas cosas, que era casi imposible no hacerlo, porque él tiene que decir "sí" por adelantado, a continuación, tenía que seguir diciendo "sí." Aquellos yeses conducen un camino, y ese camino fue derecho a donde quería, aceptando el trabajo que necesitaba hacer.
Conscientes de que es bueno para decir "no" puede salvarlo de cometer a algo que podría ser desastroso. Aunque a veces nos convencernos de que decir "no" es una forma de pecado cardinal que necesita muchas oraciones para ser perdonado. En el ejemplo anterior de la carne congelada vendedor, mi esposa es muy auto-consciente de la persona. Saber que ella podría ser manipulada por un "deal" aparentemente buenas dentro de ella vino a buscarme porque soy un "tirón".
Uno de los mejores ejemplos que he oído que realmente muestra
el poder de compromiso es un experimento social realizado por el Dr. Thomas Moriarty en 1972. Él envió a un ayudante a la playa como una "víctima" con una radio portátil. La víctima se sentó en su silla escuchando su radio durante unos 10 minutos, luego se levantó para ir a comprar una bebida. Mientras él estaba ausente, otro asistente, el "criminal" que nadie sabía que estaba trabajando con él, vino por "robar" de la radio. Sólo 4 de cada 20 personas- que sólo un 20% dejó el ladrón de tomar la radio. Los investigadores entonces aumentó la apuesta en la próxima ronda. Antes de la "víctima" dejaría de comprar la bebida que iba a preguntar a uno de los vecinos de los bañistas para ver su radio para él. ¿Qué te parece el cambio?
Ahora la friolera de 19 de los 20 dejó el ladrón e incluso, en algunos casos, recurrir a la violencia. ¿Por qué la asombrosa diferencia? El compromiso y la coherencia. Los investigadores obtuvieron el compromiso de los vecinos de bañistas y que obligó a tener que actuar de manera consecuente con ese compromiso. En mi opinión, estas son estadísticas asombrosas que demuestran la potencia de esta influencia método.
Un ingeniero social puede utilizar eficazmente este método de influencia para conseguir un objetivo se comprometan a incluso un pequeño gesto o pequeños "sí" y utilizar ese compromiso para escalar en un conjunto más amplio de acciones.
Gusto A la gente le gusta la gente que les gustan. Como lengua trenzar como esa frase, es una afirmación verdadera. La comprensión de la profundidad total de esa declaración que obtiene mucho más cerca para dominar la persuasión. Cuando digo entender la profundidad, lo digo de verdad porque esa frase tiene mucho más complejo de lo que parece. Esta declaración no está diciendo que la gente que como usted responderá bien. Los vendedores a menudo se enseña que las personas compran a la gente les gusta. Eso es cierto, pero no es el punto. Asimismo, no está diciendo que hay gente como usted, es decir debe como personas y entonces ellos le gustará a cambio. Esta tarea no es tan fácil como parece porque gusto alguien no pueden falsificarse. Como se discutió en el Capítulo 5, sonrisas y felicidad son muy difíciles de falsificar. Usted debe ir a la circunstancia verdaderamente cuidar a la persona que usted está tratando de influenciar. El cuidado de las personas y sus sentimientos no es una práctica estándar de la ingeniería social maliciosa; por lo tanto, suelen depender de encanto. Encanto puede trabajar sobre una base a corto plazo, pero a largo plazo, el gusto de la gente es una habilidad aprendida y practicada. Gusto es ampliamente utilizado para la comercialización. En 1990, Jonathan Frenzen y Harry Davis publicó un estudio titulado "Comportamiento de compra en los mercados integrados" ( Www.jstor.org/pss/2626820 ) que examinar por qué Tupperware partes son tan exitosos. Todas sus investigaciones condujeron a este principio de gusto.
Los investigadores concluyeron que la mayoría de la gente compraba porque querían la azafata para ser felices, para ayudar a
un amigo, y de ser querido. Qué vergüenza para ir a un partido como este y no comprar nada! Que el miedo de no ser gustado es lo que conducirá a la mayoría de la gente a comprar a estas partes y tiene poco que ver con querer más Tupperware. Otras encuestas y estudios han comparado la confianza que la gente tiene de recibir "consejos o asesoramiento" de quienes consideran amigos a la confianza que tienen en completos desconocidos o, peor aún, la gente no les gusta. Un amigo puede dar
El mal asesoramiento y uno puede ser más propenso a seguirla de buenos consejos de una persona que uno no le gusta. Desde un aspecto de ingeniería social el concepto de gusto es una herramienta poderosa. No sólo tienes que ser simpático y ganar su confianza, pero también tienes que estar realmente interesados en la gente. Este concepto se remonta a la discusión de pretexting en el Capítulo 4. Cuando pretexto, que no son meramente actuando fuera una idea o creencia-usted debe ser la persona que estás pretexting, función que es lo que tu vida se acerca. Si puede hacerlo, entonces el paso de gusto puede ser más fácil. El pretexto será verdaderamente interesado en ayudar, simpatía, o ayudar a esa persona. Un último aspecto de simpatía que es importante para usted como ingeniero social es el atractivo físico. Los seres humanos tienden a "Automáticamente" como aquellos que encontramos atractivo. Tan inútil como que suena, es la verdad. Algunos principios psicológicos graves respaldar esta idea. Lo que es bello es bueno. En 1972, Berscheid y Walster Dion realiza un estudio titulado simplemente que "Lo bello es bueno", lo que desató algunas conclusiones muy profunda. Se pidió a los participantes que puntúa las fotografías de los tres individuos que van desde bajo, medio y alto atractivo. Sobre la base de las fotos solo eran para calificar a las personas por rasgos de personalidad, felicidad y éxito profesional.
Luego se compilan las calificaciones y promedio de ellos y descubrió que las personas que se consideran atractivas eran más socialmente deseable, tenía mejores ocupaciones, eran más feliz y más satisfactoria. El estudio demostró que las personas tienden a vincular la belleza con éxito en otras cualidades y altera sus opiniones y la capacidad de confiar en alguien. Este estudio es un ejemplo de un fenómeno llamado el efecto de halo , donde un rasgo particular influye o se extiende a las demás cualidades de la persona. Se ha comprobado que el sesgo de las decisiones de una persona con una tendencia a centrarse en las buenas cualidades de la otra persona. Tengo archivada una copia de este estudio sorprendente en www.socialengineer.org/wiki/archives/BlogPosts/BeautifulGood.pdf . En otras palabras, si alguien ve usted como hermosa, que buen rasgo se extiende a otros fallos que la persona hace acerca de usted. Este efecto de halo se utiliza a menudo en la comercialización. Gente
guapa son productos dado a beber, comer y desgaste, y otra gente asumirá automáticamente estas cosas son buenas, posiblemente pensando, "Bueno, debe ser bueno si esta bella persona la está usando". Recientemente he visto un anuncio en televisión que realmente golpeó este punto de inicio el anuncio se burla de los esfuerzos de marketing, pero lo hace de una manera muy inteligente. Un atractivo
Las hembras jóvenes se enciende la pantalla luciendo hermosa ropa y dice: "Hola, soy un atractivo believably 18-hembra de 24 años".
Mediante una atractiva mujer que no es demasiado atractiva, pero believably real, alguien que nos la gente normal puede mirar hasta la comercialización es el genio. Realmente no podemos decirle a su edad, pero su belleza puede ponerla en algún lugar entre las edades de 18-24. "Puede referirse a mí porque soy racialmente ambigua". Una vez más, esta es otra de marketing a la punta. Ella no es negra, blanca o de nativos americanos no podemos contar, pero ella puede ser una mezcla, que puede ser atractivo para muchas razas y no es ofensivo para la mayoría.
"Estoy en este comercial porque las investigaciones de mercado muestran niñas como te gustan las chicas como yo". Su belleza y auto-audacia nos hace como ella; ella está bien vestido, bien hablado, y queremos saber de ella. A continuación, la cámara gira a diferentes fotos de ella haciendo cosas como kickboxing, porras, y jugando con flores. Por mostrando que puede hacer todas estas cosas mientras estaba tan hermoso como ella, percibimos su tan fuerte y poderoso, y todas las cosas que ella está haciendo tan bien.
"Ahora voy a decirle a comprar algo…". Luego ella va a vender los tampones. Este comercial es genial, porque el anunciante realmente contornos, usos, y educa a los consumidores sobre los métodos utilizados para hacer que desea comprar. Pero a pesar de todo, en este comercial se encuentra este principio de gusto y el efecto de halo. Sabiendo todo esto acerca de la importancia de la afición, ¿qué puede hacer? Tengo una dura bastante tiempo en convertirse en un atractivo masculino, ya no digamos un atractivo femenino. Porque se ejecuta Interminable a mi cirujano plástico locales están fuera, cosa hay un ingeniero social puede hacer para capitalizar este principio?
Conoce tu destino. Saber qué es y no es aceptable para él o ella. ¿Cómo vestirse, y ¿qué es lo que consideran malo y bueno? Demasiadas joyas, maquillaje, o cualquier otro aspecto del traje puede desactivar un objetivo. Supongamos que se está auditando un consultorio médico y su pretexto es un representante de ventas de drogas. Usted sabe que la mayoría de los representantes de ventas usan trajes; tiene el pelo perfecto; y apariencia, olor, y actuar
convencido, un rasgo atractivo de muchas personas, por lo que caminar con pelo de punta y piercings faciales podría atraer más atención a sí mismo de su objetivo. Debe conocer su destino, por lo que puede mirar con éxito el camino del destino sería de esperar. Llevar ropa, peinados, joyas, y maquillaje que no choque, sorpresa o disgusto el destino. Poner su mente en la facilidad puede ir un largo camino hacia la creación de una atmósfera donde ella va como tú, que construirá
Confianza y llevar al éxito. Un ingeniero social puede buscar cosas para felicitar a un destino. Cuando se conecta un destino, y cuando proceda, iniciar la conversación con una simple cuestión de cortesía (como "Esos son nice shoes; ¿Dónde comprar?") es útil. Gente como refuerzo positivo. Cuando uno recibe elogios de otro, tiende a permanecer conectado con el fin de recibir más de refuerzo positivo. Estos elogios, tienden a reforzar un destino la autoimagen, haciéndole sentir como si tuviera una mayor comprensión de lo normal. La Universidad de Minnesota emitió un documento ( Www.cehd.umn.edu/ceed/publications/tipsheets/preschoolbehaviortipsheets/posrein.pdf ) acerca de refuerzo que estados que demasiado refuerzo positivo puede
Tienen un efecto negativo. Ellos lo llaman la saciedad, lo que significa que cuando el refuerzo se da demasiada comienza a perder su eficacia. Para combatir este efecto, puede el refuerzo positivo respaldada por una pregunta. Este método refuerza el comportamiento positivo o actitudes, sino que también hace feliz a la gente como se les pregunta acerca de sí mismos.
Cuatro pasos puede ayudarle a conseguir que la gente como tú: 1.Proyectar una confianza y una actitud positiva. 2.Establecer una relación de comunicación.
3.Sincronizar, o ponerse a tono con el destino y sus alrededores utilizando los métodos mencionados anteriormente. 4.Comunicar de forma eficaz. En su libro cómo hacer que personas como usted en 90 segundos , Nicholas Boothman dice que las personas decidan si les gusta alguien en los dos primeros segundos del encuentro con él o ella. Después de una impresión se hizo cambiar puede ser difícil. Él promueve que entran en una interacción con una buena actitud. Tener la capacidad para hablar y comunicarse eficazmente en muchas situaciones diferentes, puede hacer más simpáticos. Lo que el proyecto en otros es lo que va a sentir. Sus expresiones faciales, el lenguaje corporal, vestimenta y demás deben proyectar una buena actitud positiva.
Boothman dice algunas cosas claves en su libro acerca de ser simpático, incluso de hacer muchas preguntas, escuchar activamente y estar interesado en lo que la gente está diciendo. Haciendo estas cosas van a ayudar a personas como usted.
Un ingeniero social puede necesitar para practicarla, pero
ser simpático irá una manera larga hacia con éxito en sus auditorías. Consenso o prueba Social
Prueba social es un fenómeno psicológico que se produce en situaciones sociales cuando las personas son incapaces de determinar el modo de comportamiento apropiado. Usted puede fácilmente asumir un comportamiento es apropiado si ve otros que actúan o hablan de una cierta manera. La influencia social en general puede conducir a la conformación de grandes grupos de personas en cualquiera de las opciones correctas o erróneas. Este comportamiento es común cuando la gente entrar en situaciones desconocidas y no tienen un marco de referencia sobre cómo lidiar con la situación; son un reflejo de su comportamiento fuera de quienes asumen que están más familiarizados y, por consiguiente, mejor informados. En su libro influencia: la psicología de la Persuasión , el Dr. Robert Cialdini afirma, "prueba social-la gente hará las cosas que ven que están haciendo otras personas. Por ejemplo, en un experimento, uno o más confederados se vería en el cielo; transeúntes pasaría entonces a mirar hacia el cielo para ver lo que estaban viendo. En un punto, este experimento es anulada, como tantas personas están buscando que se detuvo el tráfico".
Expondré algunos ejemplos excelentes de prueba social que le ayudará a ver cuán poderoso es y si usted tiene o alguna vez ha caído. Prueba social se utiliza mucho en marketing. Prueba social es utilizada en las ventas cuando las altas cifras de ventas son liberados para demostrar a los clientes potenciales que el producto es popular. Otro ejemplo es cuando las compañías liberan camisas con logotipos o lemas impresos en ellas, donde el portador entonces da un apoyo implícito. Prueba social no solo es influenciado por grandes grupos, pero también por individuos de alto perfil. Por ejemplo, una sola celebridad convertirse en asociado con el producto hará que otros quieren ser asociadas con la celebridad de la rasgos positivos, y luego utilizar el
mismo producto. Existen muchos ejemplos de la celebridad endosos, pero en los últimos años, la empresa que se convirtió en un importante proveedor de boinas pude conseguir Samuel L. Jackson para respaldar su producto, tal como se muestra en la Figura 6-3 .
Figura 6-3: Samuel L. Jackson Kangol avalando un sombrero.
En sus esfuerzos de marketing de la compañía reveló que sus sombreros fueron algunas de las más populares en el mercado y prueba de ello era que el Sr. Jackson, puede verse que las llevaban. Los anunciantes suelen decir cosas como, "más grande" o "venta" de productos más populares para convencer a su audiencia que tienen el respaldo de muchos de nuestros compañeros en estas reclamaciones. Además, el website Media-Studies.ca publicó un artículo en el que influyen en sus destinos mediante prueba social ( www.media-estudios.ca/artículos/influencia_ch4.htm ): Los experimentos han encontrado que el uso de risas enlatadas provoca una audiencia a reír durante más tiempo y con más frecuencia cuando se presenta material humorístico y calificar el material como divertidos. Además, algunas pruebas indican que sus risas enlatadas es más eficaz para los pobres chistes". La pregunta es: ¿por qué funciona, especialmente cuando la risa vía es a menudo tan obviamente falso? Para responder a esta pregunta, Cialdini postula el principio de prueba social: "Uno de los medios que utilizamos para determinar lo que es correcto es averiguar lo que otras personas piensan es correcto…podemos ver un comportamiento más correcto en una situación determinada, en la medida en que vemos a otros realizar".
Como con las otras "armas de influencia", prueba social es un atajo que generalmente funciona bien para nosotros: si nos conformamos con el comportamiento que vemos alrededor de nosotros, son menos propensos a hacer un faux pas social. El hecho de que sus risas enlatadas provoca una respuesta automática en audiencias sugiere que señales auditivas son poderosos estímulos porque nos influyen en un nivel de conciencia que es difícil de criticar. Otros ejemplos son la forma bartenders u otros establecimientos "sal el tip jar", poniendo unos billetes en la jarra. Como mecenas enfoques para la compra de alimentos la implicación es, "Muchos antes se han inclinado a mí, ¿por qué no?" y funciona, también! Uno de los bits más profundos de la investigación en este campo que realmente destaca fue realizada por el Dr. K. D. Craig en 1978. Dr. Craig dedicó su vida al estudio del dolor y su efecto en las personas. En 1978 se publicó un documento titulado "Modelado social influye sobre la teoría de la Decisión sensorial e índices
psicofisiológicos de dolor" ( www.ncbi.nlm.nih.gov/pubmed/690805?dopt=Abstract ), en el cual él hizo un experimento que él describe como: Sujetos expuestos a modelos sociales que oculta la tolerancia o intolerancia generalmente exhiben comportamiento coincidente en sus clasificaciones verbales de
Estimulación dolorosa. Ha sido claro, sin embargo, si estos cambios reflejan la alteración voluntaria de pruebas o la verificación de cambios genuinos en la angustia. Este estudio utilizó medidas alternativas y controlados por las limitaciones metodológicas de los estudios anteriores mediante el examen de la piel nopalmar posibles además de palmar de la conductancia de la piel y la frecuencia cardiaca de los índices de respuesta psico-fisiológicas a descargas eléctricas, y mediante la evaluación de expresiones de dolor con la teoría de la decisión metodología sensorial.
Varios índices de no-palmar potencial de la piel y la frecuencia cardiaca reactividad mostraron menor reactividad en el grupo tolerante. Modelado tolerante también se asoció con disminuciones en el nivel de stress. Los resultados fueron consistentes con la posición de que los cambios en los índices de dolor asociado con la exposición a un modelo tolerante representan variaciones en las características fundamentales de las experiencias dolorosas en contraposición a la supresión de información. Hervir este hacia abajo, lo que hicimos fue básicamente la gente de choque y pídales a valorar su nivel de dolor. A continuación, usando similar pero diferente choques hicieron la misma prueba en la presencia de una persona que fue "tolerante" para el dolor; era como si un manto mágico fue sobre el tema, porque ellos eran ahora más tolerantes al dolor. Este experimento apunta al hecho de que parte de la motivación para mostrar, exhibir, o sentir dolor está relacionado con la forma en que las personas que lo rodean actuar. La gente en el estudio no solo estaban actuando como duele menos: sus reacciones en la piel y la frecuencia cardiaca en realidad mostraron menos dolor reacción cuando un modelo fue tolerante en su lugar. Para un ejemplo de humor el poder de la prueba social, echa un vistazo a un vídeo del antiguo programa de televisión Candid camera en www.socialengineer.org/framework/Influence_Tactics:_Consensus_or_Social_Proof .
Este vídeo muestra temas siendo influenciado para hacer frente a distintas direcciones en un ascensor, incluso en un momento mirando hacia la parte de atrás, porque todos los demás lo están haciendo. Hubo cuatro a cinco participantes en el ascensor actuando como mecenas. A intervalos establecidos, los participantes todos de vuelta a la izquierda, a la derecha, o la cara hacia atrás. Después de unos segundos, una cámara oculta detectaría el incauto sujeto cumplir y orientados en la misma
dirección, eliminando un sombrero, o tomar alguna otra acción. Mediante prueba social como un ingeniero social puede ser una herramienta mortal. Este principio se puede utilizar para estimular el cumplimiento de una persona con una solicitud de que se le informa de que muchas otras personas, quizás algunos que son modelos, tomó la acción o comportamiento que usted está intentando conseguir que esta persona a hacer.
Prueba Social puede proporcionar un acceso directo para determinar cómo se comportan. Pero al mismo tiempo puede hacer que los objetivos vulnerables a las manipulaciones de otros que intentan explotar dicha influencia.
Prueba Social es el más influyente bajo dos condiciones: Incertidumbre: Cuando la gente está seguro y la situación es ambigua son más propensos a observar el comportamiento de los demás y a aceptar ese comportamiento como correcto.
Similitud: Las personas están más inclinados a seguir el ejemplo de otros que son similares a ellos mismos. Estas condiciones son cuando un ingeniero social puede utilizar prueba social. Afirmar o incluso insinuando que muchas personas antes de este objetivo han tomado una acción particular puede aumentar sus probabilidades de éxito. En una situación de ingeniería social donde yo estaba parado por un guardia de seguridad receloso, simplemente he actuado confundido en cuanto a por qué yo estaba parado y dijo, "Ayer, Jim permítanme en después de revisar todas mis credenciales. Simplemente me imaginé yo estaba todavía en el registro".
El guardia de seguridad actual, audiencia que Jim aprobado conmigo, me permitió pasar sin duda. Prueba social no siempre funcionan tan fácilmente, pero es una fuerza muy poderosa. Los principios descritos en esta sección son algunos de los más mortíferos influencia tácticas utilizadas hoy en día. Estas tácticas pueden dar literalmente un ingeniero social poderes para motivar a la gente, moverlos y llevarlos a reaccionar en formas que le permitan situarse en el control del ingeniero social. Recuerde que la influencia y el arte de la persuasión es el proceso de llegar a alguien quiere hacer reaccionar, pensar o creer en la manera en que usted desea. La creación de esta motivación dentro de un destino es una fuerza poderosa; es un ingeniero social de la superpotencia. Los principios que se describen en este capítulo puede hacer que la superpotencia sea una realidad, pero no sin consecuencias y un montón de trabajo. ¿Qué quiero decir con eso? A menudo he encontrado que después puedo practicar una cierta habilidad y convertirse en experto en ella, "apagarlo" es muy duro. Este rasgo puede sonar atractivo, pero ser prudentes cuando se trata de quién eres influyen, especialmente como un ingeniero social, es una buena idea. Imbricar estas habilidades en su
personalidad, usarlos para ayudar a los demás. Por ejemplo, cuando usted comienza a practicar la lectura microexpressions e incluso los utilizan para manipular un destino, la respuesta inicial podría ser pensar que tienen algún poder místico que permite casi leer mentes. Aquí es donde la precaución es sabio. Practicar las habilidades y trabajar en pro de su perfeccionamiento, pero no suponga que lo sabe todo.
Si usted puede influir en alguien para dejar de fumar, para empezar a trabajar, o para ser más saludable, entonces, usted aprenderá a aprovechar estos conocimientos para el beneficio de los demás, y utilizarlos en sus prácticas de ingeniería social no es una idea descabellada. Muchas de estas habilidades requieren que usted realmente se interesa en la gente, se preocupan por ellos, y simpatizar con ellos. Si estos no son habilidades naturales para usted, entonces usted debe trabajar duro para obtener esos conocimientos. Le insto a tomar tiempo, porque las competencias en la sección anterior puede conducir a ser un gran maestro ingeniero social. Imagínese que usted podría alterar lo que usted piensa en la medida en que la obtención de estas habilidades podría ser más fácil. Imagine ahora, también, si usted podría alterar el pensamiento de sus objetivos, de modo que lo que experimentan es exactamente lo que usted quiere experimentar. Literalmente, alterar la realidad de aquellos que interactúan, incluido usted mismo, es el siguiente tema, y sólo le impresionará.
Alterar la realidad: enmarcar Framing ha sido definida como información y experiencias en la vida que alteran la forma en que uno reacciona ante las decisiones que uno debe hacer. No desde un punto de vista de ingeniería social, el entramado es sus propias experiencias y las experiencias de los demás que permitir a tu mente consciente para alterar la forma de tomar decisiones. Tiendas de comestibles utilizar enmarcado por poner "75% pobre" en un paquete de carne molida, en contraposición a "el 25% de grasa." Estos términos significan la misma cosa (ambos tienen un 25 % de contenido de grasa), pero uno de los sonidos más sano y más atractivo para el comprador, y es por eso que tiendas de utilizar 75% magro como opuesto a etiquetar el contenido real en materia grasa. El ejemplo anterior es simple, pero es también una de las que ayuda a mostrar el poder de framing. Simplemente presentar los hechos de una manera diferente puede hacer algo parece bueno que normalmente serían considerados malos.
En las siguientes secciones, se analizan algunas de las áreas en las que el entramado es utilizado a menudo para que pueda ver cuán poderoso es.
La política Framing ha sido utilizada durante mucho tiempo en la política. Simplemente la forma de campañas o mensajes están redactadas pueden hacer una gran diferencia en la forma en que el público percibe un mensaje. Consideremos, por ejemplo, George Lakoff, lingüista cognitivo profesional. En
Una observación interesante sobre la elaboración de la política, afirma la diferencia en cómo las personas perciben la utilización de las frases "como la aplicación de la ley antiterrorista" versus "contraterrorismo como guerra." Cuando se produjeron los atentados del 11 de septiembre de 2001, Colin Powell argumentó que debían ser tratados como delitos. Cuando el público exigió más acción y políticas más estrictas y, a continuación, el Presidente Bush anunció la "guerra contra el terror" campaña.
Otro ejemplo es el programa de la Seguridad Social en los Estados Unidos. El nombre implica que este programa puede ser invocado para proporcionar seguridad para el futuro. Otro ejemplo es la diferencia en términos de rescate de estímulo económico versus . Rescate se reunió con mucha oposición, porque puede pintar una imagen de Word de achicar agua fuera de el hundimiento de un barco. Pero el estímulo económico pinta la imagen mental de ayudar a la economía estimulando la economía. Ambos programas se hizo casi la misma cosa, pero la simple redacción hizo que este último término más aceptable. Judith Butler, profesor de Berkeley y autor del aclamado libro marcos de guerra, escribió acerca de cómo el entramado es utilizado especialmente en las culturas occidentales en lo que se refiere a los programas políticos y de guerra. En su libro explora los medios de difusión de la imagen de la violencia de estado: Este papel ha saturado nuestra comprensión de la vida humana, y que ha conducido a la explotación y el abandono de pueblos enteros, que son emitidos como las amenazas existenciales en lugar de como viven las poblaciones necesitadas de protección. Estas personas están enmarcados como ya perdido, a una pena de prisión, el desempleo y el hambre, y que fácilmente pueden ser despedidos. En la retorcida lógica que racionaliza sus muertes, la pérdida de estas poblaciones se consideran necesarias para proteger la vida de "la vida".
Estos son sólo unos pocos ejemplos en los que el entramado es usado en la política.
Utilizando entramado en la vida cotidiana El término fotograma de referencia se define como un conjunto de ideas, condiciones o supuestos que determinan cómo algo se acercó, percibido o entendido. Esta definición
puede ser útil para comprender cómo el entramado es utilizado. Cualquier cosa que pueda alterar las percepciones de la gente o la forma en que toman decisiones que pueden ser llamados "framing". Un amigo te dice que la semana pasada, ella fue a la ciudad y tomó una ruta determinada que fue respaldada por 10 millas debido a alguna construcción. Usted podría entonces tomar una ruta más larga para evitar el posible retraso, aunque la noticia de su amigo compartida es más de una semana de antigüedad.
Nuestras mentes están diseñadas para no como "desorden" o el caos. Cuando se presenta con las cosas que se abarrote nuestro cerebro intentará poner orden fuera de ellos. Un ejemplo interesante de esto se encuentra en la Figura 6-4 .
Figura 6-4: Puede alterar la realidad del marco para cambiar lo que ves?
En el presente marco, cuál es el contexto y cuál es el primer plano? Tu mente va a insistir en la búsqueda de patrones familiares en las cosas. Lo hacemos en las nubes, espacio y objetos inanimados. Los seres humanos también
tienden a ver las caras en estas cosas. En la figura 6-4 se puede alterar su marco y cambiar lo que es la imagen y
¿Qué es el fondo? Intente centrándose en lo opuesto de lo que observó en primer lugar. Otro ejemplo muy interesante de cómo el cerebro humano encontrar orden en el caos puede ser ilustrado en un e-mail que circuló durante los últimos pocos años que tenía este aspecto: Oh lny srmat poelpe puede raed tihs. Yo cdnuolt blveiee preo pero yo cluod aulaclty uesdnatnrd waht fui rdanieg. La phaonmneal pweor del hmuan aoccdrnig mnid, a rscheearch en Cmabrigde Uinervtisy, deos no waht oredr mttaer en la ltteers en wrod, olny iprmoatnt tihng preo pero es el frist y el lsat ltteer rghit pclae en el. El rear puede ser un taotl mype y puede sitll raed es un porbelm wouthit. Es la huamn Tihs bcuseae raed ervey mnid deos no lteter por istlef, pero el wrod como wlohe. Amzanig ¿eh? Y yo awlyas yaeh tghuhot slpeling fue ipmorantt! Si puedes raed tihs psas en !!
No estoy seguro de si esto es realmente Cambridge Research, pero la parte interesante en que reenvió el e-mail es la forma en que muchos de nosotros que usan el inglés como idioma principal, o son muy competentes en la lectura inglés probablemente son capaces de leer ese párrafo sin mucho esfuerzo, porque nuestros cerebros son muy eficientes en poner orden en el caos. Muchas veces el encuadre es más subliminal. Las empresas utilizan esta en marketing espera que los mensajes subliminales se altera la percepción del destino de sus productos. Muchas veces las compañías utilizarán medidas sutiles de entramado para sembrar una idea.
Por ejemplo, la figura 6-5 muestra algo que usted probablemente ha visto muchas veces. Figura 6-5: Puede detectar la trama?
Después me muestran esto, usted nunca verá el logotipo de FedEx de la misma manera, hay una flecha en el logo de FedEx. En una entrevista con el creador del logo, él dijo que la flecha incrustada en el logotipo para plantar una idea acerca de los servicios de FedEx. Es allí a comunicar el movimiento, la velocidad y la naturaleza dinámica de la empresa.
No se puede encontrar todavía? Observe la Figura 6-6 donde he esbozado y rodearon la flecha. Figura 6-6: La flecha indica la calidad del servicio que está siempre en movimiento.
FedEx no es la única compañía que utiliza el encuadre. Desde hace décadas, las empresas han sido los mensajes de incrustación en logos, en un esfuerzo para encuadrar el pensamiento del espectador para recordar, pensar y ver su empresa en la forma que desea. Las siguientes figuras
muestran ejemplos más. ¿Alguna vez ha notado el logotipo de Amazon para su mensaje de encuadre incrustado
(Consulte la Figura 6-7 )? Figura 6-7: ¿Puede ver la sonrisa feliz cliente?
Amazon tiene dos mensajes enmarcados en su logotipo. Uno es la felicidad que se siente como un cliente, representado por la sonrisa en la imagen, pero la sonrisa es también una flecha. Que la flecha apunta desde la A a la Z, indicando el Amazonas tiene de todo, desde ambos puntos y entre ellos.
Otro gran ejemplo es el logotipo de Tostitos. Este es un logo muy social, como se puede ver en la Figura 6-8 . Figura 6-8: ¿este logotipo que desea compartir un chip con alguien?
Las dos T's en el Oriente son gente compartiendo un chip sobre un tazón de salsa. En 2004, Tostitos emitió un comunicado de prensa que dice, "Tostitos juega un papel como un aperitivo 'social', ayudando a crear conexiones entre amigos y familiares, ya sea en una fiesta, durante el "gran juego" o simples tertulias cotidianas. El nuevo logotipo da vida a esta idea de hacer conexiones". Estos ejemplos son sólo un pequeño subconjunto de cómo el entramado es utilizado para la comercialización. Encuadre no es todo acerca de las imágenes; mayormente es sobre el valor que percibe el destino . La percepción que tiene el destino de un elemento puede aumentar o disminuir su valor. Tener una tienda de ropa cara-cuando usted camina en todo se colgó pulcramente, presionado, y
perfecto. La percepción puede ser que la ropa vale la suma exorbitante de la etiqueta del precio. Sin embargo, si
Fueron a tomar uno de los lazos, camisetas u otras prendas de vestir fuera del rack; llevarlo a una tienda de descuento; y arrojarlo a una gran bandeja llena de otras ropas marcadas, "Descuento 75% off" su percepción del valor de dicho elemento de ropa iría hacia abajo. Los gurús del marketing play off este fenómeno en un esfuerzo para encuadrar la percepción del público de valor. Muchas empresas han sido exitosas en enmarcar a tal punto que las personas realmente han acuñado frases para crear todo un género de palabras para describir los productos. Por ejemplo, todo el mundo probablemente ha dicho, "va a hacer una Xerox de eso?", incluso si la máquina no es una Xerox pero de otra marca. Xerox es el nombre de la marca, no el tipo de máquina. Un ejemplo más reciente es no importa qué motor de búsqueda que utilice, la gente suele decir, "Lo que hizo Google?" porque Google se ha convertido en sinónimo de búsqueda en la Web. Y la gente dice, "la mano de mí un Kleenex por favor", cuando lo que realmente quieren un tejido. Otros, que podría incluso no ser conscientes eran nombres de marca (a menos que usted sea de la generación en la que se introdujeron) incluyen:
La aspirina es un producto de marca de Bayer. Es un nombre de producto termo termo de GmbH Empresa.
"curita" es una marca registrada de Johnson & Johnson. Frisbee es una marca registrada de WHAM-O. Todos esos nombres se hizo tan popular que la gente finalmente marco de referencia abarca cualquier producto similar. Yo nunca tome aspirina-I suelen utilizar otra marca, pero siempre me pregunto por "dos aspirinas, reciban la marca que uso, y ser feliz. Volúmenes de información existentes sobre el encuadre, pero la ebullición abajo esta información para algunos de los principales principios que puede utilizar como un ingeniero social es necesaria. La información anterior establece una etapa muy detallado para enmarcar qué es y cómo se utiliza en diferentes ámbitos de la vida. Antes de pasar a la arena de ingeniería social, eche un vistazo a los diferentes tipos de alineaciones de encuadre.
Cuatro tipos de alineación del bastidor Dos investigadores, David Snow, de la Universidad de Arizona y Robert Benford, de la Universidad de Nebraska, escribió un artículo titulado,
"aclarar la relación entre la elaboración y la ideología en el estudio de los movimientos sociales" ( www.socialengineer.org/resources/book/SNOW_BED.pdf ). Snow y Benford argumentan que cuando los fotogramas individuales se convierten en Linked In
Coherencia y complementariedad, que se produzca la alineación del bastidor, produciendo resonancia del bastidor , que es clave para el proceso de transición de un grupo a partir de un fotograma a otro. Snow y Benford luego esbozar cuatro condiciones que afectan los esfuerzos de encuadre: "La solidez, la exhaustividad y la minuciosidad de la enmarcación esfuerzo": Snow y Benford identificó tres principales tareas de encuadre, y el grado en que estas tareas son atendidos determinará cuánto cada participante se involucre.
Los tres pasos son: 1.El bastidor para diagnosticar problemas. 2.Analizar las soluciones. 3.Si tiene éxito, una llamada a la acción.
El mayor esfuerzo realizado en el marco de la mejor oportunidad que la persona tiene que llamar a quienes él está enmarcado en la acción. "La relación entre la propuesta de la trama y el mayor sistema de creencias": la gente tiende a descuento marcos o frames propuesto si no existe un vínculo a una convicción o un valor de su sistema de creencias.
Tratando de convencer a una persona que tiene la creencia de que comer carne es la crueldad con los animales para ir al lugar de asados por la carretera, que tiene una gran especial sin duda fracasarán. La trama debe caer con el núcleo de las creencias de una persona a tener éxito (a menos que su objetivo es utilizar un marco para cambiar sus creencias principales); es imperativo para el éxito. Un encuadre a gran escala se hizo el intento de cambio a través de la controvertida publicidad anti-tabaco donde los voluntarios se amontonan sacos mortuorios en frente de una industria tabacalera puerta principal del edificio. Las bolsas representan cómo muchas personas mueren cada minuto, hora o día de fumar. La esperanza es alterar la trama de aquellos que apoyan a fumar para pensar en el peaje de muerte para aquellos que fuman. "La pertinencia del marco a las realidades de los participantes": La trama debe ser pertinente a la persona (destino). Debe ser creíble y comprobable en lo que se refiere a la experiencia del destino.
No puedes esperar para utilizar una trama de marketing que
animará a la gente a tomar un crucero de lujo en una tierra donde la gente no puede pagar la comida del día. No importa lo bien que están en uso en marketing de encuadre, sólo sería un fracaso. Para el bastidor para alinear, debe no sólo es pertinente sino que también debe ser comprobado con el fin de mantener el valor, incluso en el caso de que la prueba es sólo en la mente del target. Por ejemplo, en 2007, un muy popular y fuente de noticias de confianza, Insight
Magazine (que es propiedad de la misma compañía como el Washington Times ) informó que el entonces candidato presidencial Obama asistió a una escuela musulmana que fue conocido por la enseñanza de una forma muy radicales y fundamentales del Islam. Cuando esta noticia fue lanzado muchos creyeron que enseguida: ¿por qué? No encajan en el marco de su realidad, parece creíble, y que provenga de una fuente "confiable".
CNN, otra fuente fiable de noticias, envió investigadores, descubrió que la historia era falsa, y comunicó sus conclusiones. Este es un buen ejemplo de la alteración de marcos del pueblo en cuestión utilizando una fuente confiable para la "verdad" de los medios de noticias. Las personas que querían creer que Obama era un musulmán radical corrió con esa historia, y la noticia fue salvaje. Cuando la investigación reveló la historia a ser falso, muchas personas pensando fue cambiado de nuevo. "ciclos de protesta; el punto en que la trama surge en la cronología de la era actual y las preocupaciones existentes con el cambio social": ¿Qué está pasando en el mundo puede afectar a un marco social. Creo que hace unos años atrás; si la idea de cuerpo completo análisis de rayos X fueron propuestos a las empresas en los EE.UU. o en otras culturas occidentales, la idea habría sido arrojado al viento. Los activistas por la privacidad habría luchado en contra de la idea y ganó, simplemente usando la idea de que alguien pueda ver tu zonas privadas y potencialmente guardar esa imagen para burlarse o acosan sexualmente. Este argumento habría anulado los esfuerzos de venta de los creadores de las máquinas. Sin embargo, tras los atentados en Estados Unidos el 11 de septiembre y el consecuente aumento de la actividad terrorista, esas máquinas están siendo instalados en los aeropuertos de todo el mundo a pesar de los gritos de los activistas, incluso discutiendo con la potencia de las leyes contra la pornografía infantil en su lado.
¿Por qué? El marco social de cómo permanecer seguro ha sido alterado, permitiendo una nueva raza de decisión de entrar. Snow y Benford proponer que cuando se construyen marcos adecuada tal como se describe en estos cuatro puntos, los cambios en gran escala en la sociedad, tales como los necesarios para el movimiento social puede lograrse a través de la alineación del bastidor. Sus estudios se centran en la sociedad como un todo,
pero estos mismos principios son eficaces cuando se trata de menor escala o incluso uno-a-uno. La discusión anterior es simplemente el proceso de alineación del bastidor; en realidad cuatro tipos diferentes de alineación puede ocurrir después de estas cuatro condiciones se cumplan. Aunque muchos de estos aspectos están dirigidos a grupos de encuadre como un todo, en las siguientes secciones se describen estas cuatro alineaciones de encuadre en un
Nivel personal que le mostrará cómo puede usarlos en menor escala tanto como un ingeniero social y/o simplemente como una persona que desea alinear los fotogramas con otros. Imagínese tratando de alinear su objetivo de entrada a un edificio con el bastidor de la guardia de seguridad diseñada para detener. Llevando su trama en alineación con el pretexto puede garantizar el éxito.
Una cosa para recordar acerca de los marcos es que nunca se construyó a partir de cero. Marcos siempre se dibujan sobre códigos culturales ya existentes que involucran el núcleo de una persona de creencias y experiencias. Sabiendo esto afectará la forma en que usted utilice framing.
Puenteo de trama La Cathie Marsh Centro para información de censos y encuestas define frame bridging como la vinculación de dos o más ideológicamente congruentes pero estructuralmente tramas inconexas sobre un tema en particular. No es puente acerca de engañar a las personas para que, haciéndole creer que su marco tanto como su entendimiento de su bastidor tan profundamente que usted encontrará el enlace de conexión. A continuación, puede utilizar esa conexión para traer un destino en su bastidor.
La situación podría ser que desee para acceder a una zona, edificio o trozo de información. Su trama es que desea que esto suceda. El bastidor de la persona a la que se están acercando no es necesariamente para detenerte; él puede incluso no saber lo que va a tratar. Si se va a abordar la situación en ese marco puede le alerta a un problema y, por lo tanto, apagar sus posibilidades.
Mediante la comprensión del destino del trabajo, papel, y outlook mental puede comprender su estado de ánimo y quizás encontrar un enlace que hará su transición en el marco mucho más fácil. ¿Cuál es tu excusa? Cómo sería la persona que está a punto de enfoque tratar a una persona en su pretexto? Un buen ingeniero social debe comprender que esto sea exitoso. El "guardián" tratará un chico de ventas diferente a la entrega de soda guy. Comprender el marco de la meta significa saber cómo te tratará, no usted como un ingeniero social, pero como pretexto.
Un ejemplo puede ser más personal a pensar de qué manera
desea que otros usuarios vean ustedes- quizás lo más fresco, "juntos", inteligente, o seguro. Un profesor quiere parecer inteligente. Un administrador quiere aparecer en el control. Un atleta quiere aparecer sereno y fuerte. Un comediante quiere la audiencia para verla como gracioso. Todos estos son marcos que una persona quiere otros para estar en la alineación. En el caso del cómico, ¿qué pasa si hay una heckler-una persona que no
Verla como fresca, divertida, inteligente, o seguro? Debido al bastidor del heckler están enojados, no satisfechos, posponer, o simplemente no le interesa? Si el comediante persiste en su marco, él puede convertir algunas personas alrededor de él, pero hasta que profundiza y tratar de entender cuando alguien está viniendo de él no podrá alinear sus dos marcos y llevar a esa persona en su bastidor. El comediante que puede manejar una heckler es capaz de poner de lado sus temores acerca de su bastidor y utilice el heckler a su ventaja.
El puenteo de trama alineación técnica puede ser uno de los más poderosos utilizados por un ingeniero social, pero implica una cierta preparación para asegurarse de que usted obtenga el derecho. Un ingeniero social puede utilizar esta particular forma de alineación de marco destino ayudando a cerrar la brecha entre lo que ven y lo que ellos necesitan para creer a través de un buen pretexto. De nuevo, recordar el ejemplo de intentar acceder al edificio como un representante de soporte técnico. Su vestimenta, herramientas y lenguaje debe coincidir el fotograma que espera el destino de un representante de asistencia. Si lo hacen, el puente se crea y se produzca la alineación.
Amplificación de bastidor Amplificación del bastidor, según Snow, se refiere a "la clarificación y fortalecimiento de un marco interpretativo que recae sobre un determinado tema, problema o conjunto de eventos." En otras palabras, se ampliarán o se centran en los valores o creencias de la meta. Centrándose en los valores que usted puede encontrar un área que va a alinear los dos marcos, o al menos la unidad de destino para pensar que hay alineación. Esta forma de alineación ha sido denominado como el más básico de los cuatro porque es más de un método de mantenimiento. Implica la acentuados, ampliar, o golpes de un evento como más importantes que otros, lo que permite a este evento para vincularse con otros eventos con mayor facilidad.
Un ejemplo de amplificación del bastidor se puede poner de manifiesto si hacemos una mayor investigación en el ejemplo anterior sobre el cuerpo completo de los escáneres de rayos x. Los escáneres se venden ahora como disuasión para los terroristas. La trama que se venden bajo es cómo la actividad terrorista reciente provocó una necesidad de tales productos, y aquí están para satisfacer esa necesidad. No obstante, la investigación en estos dispositivos muestra estaban siendo construidas, comercializados, y
rechazó mucho antes de los atentados del 11 de septiembre y otros ataques recientes. Utilizando los acontecimientos del 11 de septiembre de 2001, combinado con el miedo a volar muchas personas han debido a esos ataques permite al escáner empresas para vincular su armadura con la trama de miedo muchas personas tienen y, por lo tanto, obtener apoyo para la implementación de estos dispositivos en los aeropuertos de todo el mundo.
Otro de los puntos fuertes de la amplificación del bastidor es que puede ser utilizado con éxito para desenfocar el bastidor y provocar que las personas con una cierta creencia a distanciarse de esa creencia. Por ejemplo, muchos que creyeron en la privacidad y la libertad de elegir cómo ser examinados han sido llevados a un fotograma diferente por los fabricantes de escáneres de rayos x centrándose en ciertos aspectos de la inseguridad de otros métodos de detección o incompleto, y para demostrar su punto sacan historias como "el bombardero de ropa interior." Esas tácticas amplifican su trama que los nuevos escáneres de rayos x son mejores y más seguras, utilizando las creencias ampliamente difundidas en relación a la falta de seguridad de otros métodos.
Un ingeniero social puede utilizar esta técnica de alineación de maneras diferentes. Por ejemplo, un ingeniero social puede querer convencer a un guardia de seguridad para darle acceso a un área de botadero in situ. El pretexto de trabajar para un contratista de eliminación de desechos es buena y muy bien pueden trabajar solos, pero funcionaría mejor si usted presentó la idea de que no es el daño a uno de los dumpsters, que representa una responsabilidad de la seguridad de la empresa. La amplificación de ese marco puede traer a un alineamiento con el guardia de seguridad que la mejor solución es permitir que usted in situ para comprobarlo.
Extensión del bastidor " extensiones del bastidor del movimiento son un esfuerzo por incorporar a los participantes mediante la ampliación de los límites del marco propuesto para abarcar las opiniones, los intereses y, lo que es más importante, los sentimientos de un grupo." En otras palabras, extendiendo los límites de su marco para abarcar otros temas o intereses de su destino, puede ponerlos en la alineación.
Por ejemplo, existe la posibilidad de que grupos que apoyan ambientales o "verdes", iniciativas que ampliarán su bastidor a movimientos antinucleares, declarando que están bajo el paraguas de estar preocupados por los riesgos medioambientales. Sin embargo, el riesgo con el uso de las extensiones del bastidor se pueden debilitar la postura de la trama original y un cierto nivel de apelación pueden ser perdidos. Esto puede hacerse mediante la inclusión de demasiadas extensiones del bastidor en un fotograma determinado, eventualmente diluir el bastidor principal y causando el interés se pierde.
Incluso en un nivel personal, simple es mejor. Cuando se utiliza esta táctica de alineación de trama, es sencillo y fácil de seguir. No
realice la conexión tan enrevesada web usted pierde el interés de la meta. Un ingeniero social puede utilizar esta técnica de alineación de trama a través de la obtención de conocimientos se discutió en el Capítulo 3. Cuando un ingeniero social se aproxima a un destino, ella puede recopilar información sobre el destino o su empresa por no actuar interesado en eso, pero la utilización de chit-chat, en una fiesta o
Con un pretexto como reportero. Esto le dará el ingeniero social el "derecho" a pedir información que normalmente tendrían que trabajar muy duro para conseguir.
Transformación del bastidor "Encuadrar la transformación es un proceso requerido cuando la propuesta de marcos podría no resuenan con y, en ocasiones, puede parecer incluso antitéticos, estilos de vida convencionales o rituales y marcos interpretativos existentes." En otras palabras, un ingeniero social ofrece nuevos argumentos que apuntan a por qué su bastidor está mejor en un esfuerzo por transformar el pensamiento o creencia de un destino desde donde están ahora hasta donde el ingeniero social quiere que sean.
Cuando se produce una transformación del bastidor, nuevos valores y nuevas comprensiones son necesarios para mantener a las personas involucradas y mantenga su apoyo. Este tipo de transformación se ha realizado en un plano social grande en el 1970, donde el movimiento conservador fue reorganizado o transformado en un movimiento ambientalista más progresistas. En una escala más pequeña, más personal, marco las transformaciones ocurren cada día a través de la conversión religiosa, en el cual la trama o todo el sistema de creencia está alterado, modificado y transformado para ser alineada con una nueva estructura de pensamiento, que la nueva religión. Transformar a alguien de la trama no es fácil; es uno de los más complicados de la alineación tácticas para poner en práctica ya que puede tomar:
Tiempo: Cambiar a alguien toda la estructura de fe no es un proceso rápido y puede tomar la utilización de otras técnicas de alineación y un montón de tiempo para hacer que funcione. Esfuerzo: el objetivo es saber de donde viene y a donde desea que le son sólo los primeros pasos. ¿Cuáles serán sus objeciones y bloqueos mentales? Averiguar estas cosas tendrá algún trabajo.
Educación: El conocimiento es poder. Usted debe ayudar al objetivo comprender el nuevo marco que desea él para "convertir". Lógica: La educación debe ser lógica y no toda la emoción. El objetivo debe ser capaz de razonar y racionalizar las medidas que va a tomar. La única manera que puede hacerlo
es con la lógica. Profundos lazos emocionales: El conocimiento es lo que prepara a una persona para la acción, la lógica lo convence de la acción es buena para tomar, pero la emoción es lo que hace a la acción. Si son emocionales acerca de su "causa" el destino hará sentir esa emoción. Sólo asegúrese de que usted está expresando la emoción y sentimiento coincida con el pretexto. Si el pretexto es un orientador y entras como un porrista usted
La desviación del objetivo de capacidad para alinear. Poder alinear a otros a su marco y alinearnos con la suya puede dar incentivos para hacer las cosas que le pregunte. Aunque el uso de cualquiera de los cuatro métodos de encuadre es potente, un ingeniero social que tiene éxito en la transformación de la trama tiene una infinidad de energía.
Siga leyendo para averiguar cómo aplicar estas técnicas de encuadre como un ingeniero social. Utilizando entramado como un Ingeniero social A lo largo de esta sección que he mencionado muchas maneras un ingeniero social podría utilizar una técnica de framing. Algunos de estos métodos son tan poderosos que perfeccionarlos puede convertirte en un maestro influyente. Uso verdaderamente como un entramado de ingeniero social debe comprender cuatro cosas acerca de framing. Estas cuatro cosas que le ayudarán a entender claramente cómo enmarcar las obras y cómo utilizarlo como un ingeniero social. Recuerde qué es una trama. Un marco es una estructura conceptual que utilice nuestras mentes en el pensamiento. Esta es una parte vital de información porque su objetivo es el de crear un nuevo marco, alinear con el bastidor de una persona, o traer el destino en su bastidor. Uno de esos tres objetivos necesita ser descritos con las siguientes cuatro reglas a fin de master enmarcado como un ingeniero social.
Regla 1: Todo lo que dicen se evocan un fotograma Las mentes de las personas trabajan por imaginar cosas. Este hecho natural no se puede modificar, pero se puede utilizar para su ventaja. Si empiezo a hablar con usted acerca de su jefe, tu mente la imagen de él. Si puedo pintar una imagen con palabras acerca de cómo él estaba fuera en el teléfono celular y estaba enojado, tu mente comenzará a imagen de su enojo, el lenguaje corporal y las palabras. Usted no será capaz de controlar y que este marco mental hará que las emociones y reacciones.
Pintar un cuadro con palabras es una poderosa forma de hacer uso de framing. Eligiendo sus palabras con cuidado puede provocar una imagen mental del objetivo de las cosas que usted quiere de él la imagen y empezar a mover éste a un fotograma que desee. ¿Alguna vez ha oído a alguien que usted pensó que era un gran narrador? ¿Por qué? Lo que le hace grande? Ella fue capaz de pintar una imagen mental, te hacen ver las cosas en tu mente, que te intriga y te involucrados. Esta habilidad es muy importante para un ingeniero social. Eso no significa que usted habla como si
Una gran historia están diciendo todo el tiempo, pero desea mantener en mente las palabras que usted elija, ya que esas palabras tienen el poder para pintar imágenes en las mentes de los objetivos. Aquí hay un ejemplo simple: puedo decirle que había espaguetis durante la cena anoche. Si no eres un gourmets o no italiano, quizás la última vez que había espaguetis no era tan agradable. Su marco mental no es tan fuerte y usted puede estar apagado.
¿Y si le dijera que anoche mi esposa hizo una salsa de vid-los tomates maduros y albahaca ella creció en el jardín? También había trozos de ajo fresco y orégano, así como un toque de sabores de vino tinto. Ella sirvió en un plato de espaguetis perfectamente cocinado con fideos y pan de ajo casero. Si o no usted es un ventilador de pasta, usted pensó en un restauranteplato de calidad. Esto es cómo usted debe planear tus palabras con tus objetivos. Deben ser descriptivos, robusto y lleno de imágenes. Sin embargo la precaución es no ser excesivamente teatrales como un ingeniero social. Su objetivo debe ser construir una imagen con sus palabras, para no llamar la atención de usted o de su entrega. Regla 2: Las palabras que están definidas dentro de un marco evocan el marco mental
No tienes que usar las palabras exactas para que una persona la imagen del fotograma que desee. Por ejemplo, ¿qué piensas cuando lea la siguiente oración? "Yo vi el insecto lucha para obtener de forma gratuita desde la web, pero no podía. Momentos después, se encontraba envuelta en un capullo y se guarda para la cena".
Aviso, no tengo que mencionar una araña a hacerle pensar de una araña. Si quiero fotograma a pensar en una araña, puedo hacerlo sin tener que mencionar la palabra spider . Este poderoso imperio de influencia y marco da un ingeniero social la capacidad de controlar el destino de los pensamientos usando discurso indirecto. Toastmasters, la organización internacional centrado en las habilidades de habla popular, enseña a sus miembros a mover a la gente con su discurso poniendo sus emociones del público involucrado. Entrega de una historia que hace que la imagen de destino el fotograma que desee mientras involucrarlos emocionalmente consolidará su posición en el
liderazgo de esa conversación. De nuevo, usando este método de elaboración tendrá la planificación. Un aspecto poderoso de esta trama regla es que mientras un destino el cerebro está procesando la información que están alimentando y generando las imágenes mentales que usted está pintando, hay un momento en el que usted puede plantar pensamientos o ideas. A diferencia de cuando pinté una
Imagen directa de un hermoso plato de pasta, esta regla permite que el objetivo de la libertad de imagen algo más. Yo podría haber terminado mi anterior espaguetis cena historia con, "Mi esposa luego sirvió en un plato de pasta cocida a la perfección. ¿Qué tipo de pasta? No te estoy diciendo, tienes que picture it", y cuando el cerebro comienza a imagen, entonces yo puedo decir, "Como me quitan en mi tenedor, la salsa era tan espeso y perfecto que se aferraban a cada tallarín". Esta descripción pinta la imagen mental de espagueti. ¿Qué otras pastas ¿haces girar? (Sé que hay otros, pero usted consigue el punto).
Regla 3: Negación de la trama Si te digo que no picture una araña en una web, el cerebro tiene la imagen de la araña primero a decirle a usted que no picture it. Esta técnica de la negación de la trama es muy poderoso. Decirle a un destino para tener cuidado, cuidado, o ser cautos acerca de algo automáticamente pone en el fotograma que desee. Esta técnica es utilizada a menudo por los profesionales de los ingenieros sociales. En una entrevista que hice con un grupo de ingenieros sociales, todos están de acuerdo en que esta técnica funciona muy bien. Durante una auditoría, dejé unas llaves USB que estaban cargadas con código malicioso que quería a alguien en la compañía para ejecutar sin pensar. Me acerqué a uno de los empleados que me había ganado la confianza de y dijo, "John, oí un memo se publicó para estar al acecho de unas llaves USB que se han caído. Ellos están buscando ahora". Lo que sucede es que usted está allí como portero y colocó el llaves USB cargado con archivos maliciosos, y ahora diciéndole a la gente a mirar hacia fuera para ellos, que son, en esencia, plantar la semilla para ellos para hacer su licitación. Este tipo de frase niega la preocupación pueden sentir al encontrar un rogue llave USB y causarles que enchufarlo para ver quién es.
Regla 4: causando el destino para pensar en el bastidor refuerza ese fotograma Cada vez que el cerebro se centra o piensa en algo que está reforzado. Cuanto más que usted puede pensar que el destino o el marco de imagen que desee en él, más fácil será para reforzar y trasladarlo a ese marco.
Mirar hacia atrás en el capítulo 2 sobre modelos de comunicación y analizar cómo los mensajes se desarrollará un ingeniero social puede tener efectos increíbles sobre sus objetivos. Una vez estuve de viaje en la India. No recuerdo exactamente el incidente en la
Noticias, pero todo lo que sé es que el Presidente George W. Bush había perdido el favor de la gente en Europa. Yo estaba pasando las estaciones de noticias y vio cómo la gente en ciertos países europeos donde cuelgan las muñecas que parecía a George W. Bush en las calles. Después de envolver las banderas americanas alrededor de las muñecas de iluminación fueron ellos en el fuego.
Era una escena chocante y mientras yo estaba hablando por teléfono con mi esposa esa noche me dijo, "Wow que noticia sobre lo que está sucediendo en Europa es una locura, ¿eh?". Ella no había oído nada sobre ella. ¿Por qué? Los medios de comunicación y las estaciones de noticias son maestros a la hora de enmarcar y la manipulación. Un ingeniero social puede aprender mucho observando cómo los medios utiliza esta habilidad. Mediante omisiones, o dejando fuera los detalles de una historia o toda la historia, los medios de comunicación pueden llevar a la gente a la conclusión de que parece ser su propia, pero la verdad es que los medios de comunicación.
Los ingenieros sociales pueden hacerlo también. Omitiendo algunos detalles y sólo se "filtre" los detalles que quieren que se filtró, pueden crear el marco que quieren el destino para pensar o sentir. El etiquetado es otra táctica utilizada por los medios de comunicación. Cuando ellos quieren enmarcar algo positivo pueden decir cosas como, "la firme defensa de…" o "nuestra economía saludable." Estas frases pintar imágenes mentales de la estabilidad y la salud que puede ayudar a extraer conclusiones positivas. Las mismas reglas se aplican para negativos, demasiado. Etiquetas como "terroristas islámicos" o "teorías de conspiración" pintar una imagen muy negativa.
Puede utilizar estas habilidades para etiquetar cosas con palabras descriptivas que traerá un destino en el fotograma que desee. Una vez, acercándose a una caseta de vigilancia que quería acceder al derecho, caminé a través de como si yo pertenecía. Yo estaba al instante se detiene abruptamente. Miré a la guardia de choque y apologetically he utilizado una frase como, "Oh, ayer que era extremadamente servicial al guardia de seguridad, Tom, comprobé todas mis creds y dejarme pasar. Es por eso que asumí yo todavía estaba en la lista". Etiquetado de la guardia anterior como "muy útiles" coloca automáticamente el presente guardia en un marco que quiero. Si
quiere recibir tan prestigiosa etiqueta, más le vale ser como "muy útiles" como Tom.
El entramado es eficaz porque se dobla la verdad pero no tanto que se convierte en false, por lo que sigue siendo creíble. Un ingeniero social puede crear una impresión deseada sin alejarse demasiado de la apariencia de objetividad. He leído un libro blanco llamado "Status Quo Framing aumenta el apoyo a la tortura", escrito por Christian Crandall, Scott Eidelman, Linda Skitka y
Scott Morgan, todos los investigadores de diferentes universidades. En el libro blanco que suministra un conjunto de datos muy interesantes que me intriga sobre este tema. En los EE.UU. parece que muchas personas están en contra de la utilización de la tortura en la guerra como una táctica para obtener información de inteligencia. El propósito de este estudio fue determinar si los investigadores pudieran obtener un subconjunto de las personas para que acepten que la tortura es menos desagradable por enmarcar el mensaje de forma distinta.
Se tomó una muestra de aproximadamente 486 personas y les invita a leer dos párrafos. La primera lectura: El uso de estrés por fuerzas estadounidenses al interrogar a sospechosos en el Oriente Medio está en las noticias. Este tipo de estrés entrevista es nuevo; según algunos informes, es la primera vez que ha sido ampliamente utilizado por los militares estadounidenses. Las fuerzas estadounidenses han utilizado diferentes métodos, incluyendo los detenidos a una junta de flejes y mojando ellas submarinas, relleno de cara a los detenidos en un saco de dormir, y largos períodos de colgando de cuerdas a los detenidos en posturas dolorosas. Los detenidos también mantuvieron despierto y solos durante días.
Este párrafo pinta el pensamiento de que estas nuevas técnicas están siendo empleada por el gobierno estadounidense para obtener datos.
El segundo párrafo dice: El uso de estrés por fuerzas estadounidenses al interrogar a sospechosos en el Oriente Medio está en las noticias. Este tipo de estrés entrevista no es nueva; según algunos informes, se ha utilizado durante más de 40 años por las fuerzas armadas de Estados Unidos. Las fuerzas estadounidenses han utilizado diferentes métodos, incluyendo los detenidos a una junta de flejes y mojando ellas submarinas, relleno de cara a los detenidos en un saco de dormir, y largos períodos de colgando de cuerdas a los detenidos en posturas dolorosas. Los detenidos también mantuvieron despierto y solos durante días.
El status quo versión del párrafo era idéntico, excepto que la segunda frase del párrafo fue reemplazado por "Este tipo de estrés entrevista no es nueva; según algunos informes, se ha utilizado durante más de 40 años por los militares de los EE.UU.".
¿Cuáles fueron los resultados en sólo cambian de un fotograma a fotograma que estos son nuevos métodos o que estas son probadas y los métodos que se han utilizado durante décadas? El documento describe las medidas de los investigadores. Siete temas forman el conjunto básico de variables dependientes. Estos artículos corresponden a los siete puntos de la escala "botón", con las etiquetas de punto de muy en desacuerdo, moderadamente
En desacuerdo, ligeramente en desacuerdo, incierto, ligeramente de acuerdo, moderadamente de acuerdo y muy de acuerdo. Todos los elementos se anotó atrás de modo que las puntuaciones más altas reflejan más de acuerdo con cada elemento. La conclusión? "El status quo manipulación tuvo un efecto sobre la evaluación general de la tortura-cuando se describe como un antiguo lugar de nuevas prácticas, la tortura fue evaluada más positivamente; [m]hacer la tortura parecen ser el status quo para los interrogatorios mayor apoyo individual y justificaciones para usarla como una táctica". Cambiando sólo una pequeña parte de la trama, los investigadores fueron capaces de traer un buen grupo de gente en la alineación y hacerlos coincidir (en su mayoría) que la tortura puede ser una política de uso aceptable. Que las observaciones del papel continuó, "Se pueden solicitar a través de muchos, muchos dominios, y puede afectar el juicio, la toma de decisiones, estética y preferencias políticas", concluyendo con "relativamente modestos cambios en la forma de decisiones éticas y dilemas de valor son presentados, enmarcada, o poner en su contexto puede tener un profundo efecto sobre las opciones políticas y directivas". Este experimento demuestra cuán poderoso entramado es porque puede cambiar aun núcleo de las creencias, los juicios y las decisiones que las personas pueden haber tenido durante años. Como un ingeniero social que no es ni siquiera el objetivo la mayor parte del tiempo. Usted no está tratando de convertir a las personas; sólo estás intentando conseguir que tome una acción que con un poco pensaron que la razón no es que bueno tener. Aplicar las cuatro reglas de encuadre y haciendo un montón de planificación puede hacer enmarcar una devastadora fuerza a tener en cuenta, que es la razón por la que, lamentablemente, los ingenieros sociales malintencionados utilizan esta técnica cada día. En los EE.UU. y "occidentalizados" de culturas, especialmente, las personas están capacitados para aceptar ser enmarcada, a aceptar que se nos diga qué pensar y cómo pensar. Si te dije que hace 15 años que prácticamente todos los programas de la televisión sería acerca de ver gente real hacer cosas reales, podría haber reído de mí. ¿Por qué? Porque viendo espectáculos como que sonaba aburrido y tonto. Todavía en 2006, el Los Angeles Times, dijo que el número de programas de televisión realidad saltó 128% ( Http://articles.latimes.com/2010/mar/31/business/la-fi-ct-onlocation31-2010mar31
), y no ha disminuido mucho desde entonces, y es porque viéndolos es lo nuevo y la cadera, y se nos dice que viendo es bueno y divertido, y todo el mundo lo hace. Estos espectáculos son un ejemplo de cómo una cosa puede ser hecha para lucir bien que la mayoría de la gente habrían considerado tonto pocos años atrás.
El entramado es definitivamente una forma de arte que al mezclarse con la ciencia de la comunicación e influencia pueden convertirse en una fuerza formidable en un nivel personal en manos de un ingeniero social calificado, a través de la presentación
La información de una manera que pueda hacer la alineación con el ingeniero social "fácil" para el destino, puede hacerle tomar medidas que no lo dejará sintiéndose culpable, y alterar su percepción de la realidad. El encuadre y la influencia son las piezas clave de la ingeniería social, aunque otra habilidad es a menudo asociado con el "oscuros rincones" de ingeniería social. La introducción del libro mencionado igualitarios en estos rincones; en la siguiente sección se presenta la información que va a alterar la forma en que usted mira la influencia.
Manipulación: Controla tu destino La manipulación es considerado por muchos como un tema muy oscuro, un tema que crea una sensación de temor por la forma en que se presenta a menudo.
Teniendo una mirada a algunas definiciones que se encuentran en la Internet puede ayudar a explicar: "ejercer influencia desviados o sagaz, especialmente para el propio provecho" "influencia o control astutamente o torcidamente" "control (a otros o a sí mismo) o influencia hábilmente, generalmente a la ventaja" Usted puede ver claramente porqué muchos ingenieros sociales babear sobre este tema. Te imaginas poder utilizar sus habilidades para controlar o influir en alguien a su ventaja? Desde algo tan oscuro como un lavado de cerebro a los sutiles matices de un vendedor, tácticas de manipulación son algo de lo que cada ingeniero social debería estudiar y perfecto. El objetivo de la manipulación es superar el pensamiento crítico y la libre voluntad de su destino. Cuando el objetivo pierde su capacidad para tomar una decisión informada sobre la base de procesos, pueden ser alimentados con las ideas, valores, actitudes, o los razonamientos de la manipulación de los mismos.
La manipulación se usa en seis maneras que mantenga cierto si el tema es el lavado de cerebro o algo menos insidiosos. Voy a ir rápidamente a través de cada uno antes de que consigamos en esta sección muy profundo. Aumentar la sugestibilidad de su destino. En su forma más extrema, suspensión o privación de alimentos aumenta la
sugestibilidad de un destino. En la parte más lúdica, sutiles sugerencias que crecen en intensidad a lo largo del tiempo para hacer su target más sugestionables. Ganar control sobre el entorno de destino. Esta técnica puede implicar todo, desde controlar el tipo y la cantidad de información
Una meta a la que tiene acceso a cosas más sutiles, como el acceso a una meta de sitios web de medios sociales. En un contexto de ingeniería social, tengan acceso a los medios de comunicación social permite ver el destino de las comunicaciones, así como ejercer control sobre la información que recibe. Creación de duda. Desestabilizar y socavar su sistema de creencias del destino puede ir un largo camino hacia la manipulación de su target para tomar una acción que desee. Desde un punto de vista de ingeniería social, esto debe hacerse sutilmente. No se puede simplemente entrar y comenzar a degradar su objetivo; en su lugar, se cuestionan las normas que seguir, su trabajo o sus creencias pueden afectar la capacidad del destino para tomar decisiones racionales.
La creación de un sentimiento de impotencia. Esta técnica se utiliza verdaderamente dañinas en la guerra los interrogatorios para realizar un objetivo sienta una falta de confianza en sus convicciones. Un ingeniero social puede utilizar esta táctica quitando la agencia de destino presentando los "hechos" que has recibido de alguien con autoridad, creando así una sensación de impotencia. Creando fuertes reacciones emocionales en el destino. Fuertes reacciones emocionales incluyen todo, desde la duda a la culpabilidad de humillación y más. Si los sentimientos son bastante intenso, pueden provocar que el objetivo de alterar la totalidad de su sistema de creencias. Un ingeniero social debe tener cuidado de no crear dañando las emociones negativas, pero utilizando tácticas que crean una respuesta emocional basada en el temor de la pérdida o el castigo puede resultar beneficiosa para su SE META.
Gran intimidación. El miedo del dolor físico u otras circunstancias extremas puede usarse para hacer un destino agrietarse bajo presión. Nuevamente, la mayoría de los ingenieros sociales no va a ir esta ruta, a menos que estén utilizando el espionaje corporativo como una táctica, pero en condiciones normales, esta táctica de ingeniería social utiliza la autoridad percibida para construir fuerte temor y sentimientos de pérdida potencial. La mayoría de las veces, sin embargo, la manipulación no es tan extrema. En su nivel más elemental, imagínate que estás en una habitación repleta de gente y alguien llama tu nombre. ¿Cuál es su
reacción? Normalmente es a la vuelta o responder con un "sí" que han sido manipulados, pero no necesariamente en una mala manera. En un nivel psicológico, siendo manipulados es aún más profundo. Observe lo que sucede la interacción anterior suceda: Su cerebro escucha su nombre, y formular una respuesta automática ("Sí"?). La conexión entre esa respuesta y su respuesta vocal es muy corto. Incluso si usted no hizo ninguna respuesta vocal o si los insultos no está dirigido a usted
Personalmente, si se plantea una pregunta tu mente va a formular una respuesta. Simplemente estando cerca de dos personas conversando y escuchando una pregunta hará que tu mente para formular una respuesta. La respuesta puede ser una imagen o un sonido en tu mente. Si un destino overhears dos personas hablando de lo que alguien ve como su mente se forma una imagen mental. Si escucha dos personas diciendo un chiste sobre un pollo cruzar la carretera, puede que la imagen del pollo, la carretera, o toda la escena.
Este tipo de manipulación es sólo el comienzo de lo que puede hacer. Otra táctica es que la manipulación de acondicionamiento . La gente puede estar condicionada para conectar ciertos sonidos o acciones con los sentimientos y las emociones. Si cada vez que algo positivo se menciona una persona oye un Pen haga click, después de un corto tiempo la meta puede ser condicionado a asociar un sentimiento positivo con este sonido. Uno de los más clásicos ejemplos de acondicionado fue Ivan Pavlov y lo que llamamos el perro de Pavlov, que se discutió en el Capítulo 5. Entonces la pregunta es si se puede usar este tipo de condicionamientos en las personas. A pesar de que los objetivos no se encuentra en la mayoría salivar ingenieros sociales' lista de prioridades (aunque sería cómico), hay formas de estado un destino para reaccionar a ciertos conjuntos de entradas de la manera que quiera reaccionar? Para encontrar la respuesta, lea las siguientes secciones, que proporcionan algunos ejemplos de manipulación en negocios y mercadeo para establecer una base para la discusión y el análisis de cómo utilizar la manipulación a nivel personal.
En mayo de Post reportó
Recordar o no recordar 2010, el Washington una historia
interesante
( www.washingtonpost.com/wpDyn/content/artículo/2010/05/27/AR2010052705484.html ).
El
fabricante
de
Children's Tylenol, Motrin, Benadryl, y Zyrtec, entre otros líquidos over-the-counter medicamentos, descubrieron un
lote defectuoso de Motrin y no desea realizar un retiro debido a los costes de tal acción. ¿Cuál fue la respuesta de la empresa? Se utiliza la manipulación. La empresa contrató a un montón de contratistas para ir de tienda en tienda y comprar todos los Motrin en la tienda, que luego sería destruida. Lamentablemente, sus planes se frustraron cuando un contratista cayó un papel en un almacén en el que se esbozaban la parcela, que luego fue reportado a la Federal Drug Administration (FDA). En una nota lateral, la FDA hizo que la empresa recuperar 136 millones de botellas en sólo uno de cada cuatro recuerda. Lamentablemente, ya era demasiado
tarde
porque
775
Se informó de casos de niños y bebés que tuvieron reacciones adversas a este lote contaminado, con 37 termina en la muerte. Los informes no son concluyentes si las muertes fueron consecuencia de la mala Motrin o una reacción a la Motrin. Ese no es el enfoque aquí. Este es un ejemplo muy oscuro de manipulación, o al menos intentos de manipulación. Para proteger la imagen de esta empresa estaba dispuesta a renunciar a los procedimientos adecuados y la seguridad de los niños en todo el mundo. Se intentó manipular el sistema y en el proceso de personas perdieron sus vidas. La documentación que se ha caído en la tienda se examinó cómo los contratistas estaban bajo órdenes para comprar el producto y no mencionar "Recall" en cualquier momento. Cuando la compañía fue capturado desplegó muchos interesantes tácticas de manipulación. Se desvió la situación diciendo el motivo de la acción era sus expertos no creía que existía un riesgo significativo para los niños. Esta declaración es seguida por una disculpa formal y el disparo de seis directivos. A continuación, la manipulación real llegó. Mientras era interrogado, la empresa declaró que no estaban tratando de hacer un "fantasma", recuerdan como era llamado. La compañía estaba probando la supuesta lotes dañados por los contratistas comprarlo para ser probado. Si se encuentra defectuoso, la empresa habría tomado los procedimientos adecuados. Esta empresa ha intentado utilizar una manipulación técnica denominada desviación , para desviar la atención de lo que realmente estaban haciendo para hacer parecer mejor de lo que era. Además, se utilizó una técnica de encubrimiento para manipular el pensamiento de aquellos que no estaban de acuerdo con sus acciones por emitir declaraciones que la compañía estaba tratando de hacer pruebas para determinar si hay necesidad de una recuperación. Este tipo de manipulación es que vale la pena examinar, porque una desviación táctica puede trabajar en una escala mucho menor en una configuración personal, también. Si usted está atrapado en una zona o lugar no debe ser, entonces, tener una buena historia de portada que es creíble puede ir un largo camino hacia la manipulación del destino para permitir el paso seguro. Desviar la atención del objetivo a otra cosa que no sea el problema a mano puede darle tiempo suficiente para redirigir su preocupación. Por ejemplo, si son capturados por un guardia de seguridad, en lugar de ponerse nervioso, simplemente puede mirarlo y decir, "¿Sabes lo que estoy haciendo aquí? ¿Has oído que algunas llaves USB se han perdido con datos muy importantes sobre ellas? Es imperativo nos
encontramos con ellos antes de que todo el mundo viene en el mañana. ¿Desea verificar los baños?". Muchos de ustedes probablemente nunca han escuchado acerca de la historia de recordar Motrin, mostrando que la compañía hizo un buen trabajo de manipulación (hasta ahora) los medios de comunicación y el sistema de justicia para mantener el foco lejos de él. Independientemente, esta situación
Describe cómo la desviación y el encubrimiento puede ser utilizado en la manipulación.
Curar la ansiedad en el pasado En 1998 SmithKline Beecham, una de las mayores empresas farmacéuticas del mundo, lanzó una campaña publicitaria destinada a "educar" a las masas acerca de algo que se llama "trastorno de ansiedad social." Se plantaron 50 historias de prensa y encuestas con preguntas como, "¿Usted tiene un trastorno de ansiedad social?" Estos cuestionarios y encuestas se orienta a "educar" a la gente sobre este trastorno y cómo saber si se padecen.
Más tarde ese mismo año, cambió su campaña de marketing en las revistas médicas de copia de "Paxil significa paz…en la depresión, el trastorno de pánico, y el trastorno obsesivo compulsivo" a "mostrarles que pueden…el primer y único tratamiento aprobado para el trastorno de ansiedad social." Este cambio le costó a la empresa cerca de $1 millón de dólares. En 1999, 30 millones de dólares se lanzó una campaña en la prensa escrita y la televisión anunciando que SmithKline Beecham encontró la cura para el trastorno de ansiedad social, y su nombre es Paxil. Utilizando los datos provenientes de las encuestas y cuestionarios, la empresa compró en algunos de los puntos más "calientes" de televisión en ese momento y spouted estadísticas que 10 millones de estadounidenses sufren de TAE (Trastorno de ansiedad social), y ahora hay esperanza.
En 2000, las ventas de Paxil representaron la mitad del aumento en el conjunto del mercado: La empresa "se convirtió en el número uno en los EE.UU. inhibidor selectivo de la recaptación de serotonina, mercado de retail nuevas prescripciones en 2000". En 2001 se obtuvo la aprobación de la FDA para comercializar el Paxil tanto para el trastorno de ansiedad generalizada y trastorno de estrés postraumático. Los ataques del 11 de septiembre de 2001 resultó en un dramático aumento de la prescripción de todos los medicamentos antidepresivos y la ansiedad. Durante este tiempo el Paxil publicidad posicionarse como una respuesta a los incontrolables sentimientos de miedo e impotencia que muchas personas sienten en las secuelas de los atentados. No estoy diciendo que estos medicamentos no funcionan, o que la empresa la motivación es malicioso, pero me parece particularmente
interesante en este caso que la manipulación del mercado comenzó con educación y terminó con un aumento masivo de las ventas, mientras que la creación de nuevos trastornos en el camino. Este tipo de caso de capacidades de manipulación es a menudo utilizado para la comercialización, pero también se usa en la política e incluso a nivel personal, lo que presenta un problema que es terrible, pero luego de presentar "hechos" que se han derivado como prueba de por qué es verdad lo que decís. En un episodio de el verdadero ajetreo , Paul Wilson creó un escenario donde había que extraer una estrella famosa que estaban utilizando en una estafa?
A robar algunos CDs de una tienda. La dependienta de la tienda detenida la estrella y esperó a la policía para llegar. Pablo anduvo en, se identificó como un cop, exhibió su billetera con nada más que una foto de sus hijos, y fue capaz de "detención" de la estrella, coge los CDs y el dinero en la caja registradora como evidencia, y dejar la incuestionable. Esta historia es un excelente ejemplo de este tipo de caso de capacidades de manipulación. Pablo tenía un problema (la estrella ladrona) y se presentó como la solución (CP) para el problema. Cualquiera que sea el escenario, construir el caso por lo que una buena persona que antes de presentar su solicitud, y en ese caso hace la petición más aceptable para la persona que usted está tratando de manipular.
No me puedes hacer que comprar! Kmart. Me sentí como acaba de salir de esta sección, pero creo que debería explicar más. Kmart desarrolló una idea que denomina planogramas , que es un diagrama que muestra los minoristas cómo mostrar sus productos basados en colores, tamaños y otros criterios para manipular a sus clientes que quieren comprar y gastar más.
Están diseñadas para crear Planograms visual óptimo y la colocación de productos comerciales. El uso de estos planograms es una forma de manipulación porque los investigadores han estudiado la manera en que la gente tienda, pensar y comprar. La comprensión de estas cosas les ayudó a desarrollar mecanismos para controlar el input visual para aumentar el deseo de los compradores para comprar.
Software, así como compañías enteras, están dedicados a la planificación y ejecución de estos planograms para el máximo efecto en el mantenimiento de las compras de los compradores. Tres diseños diferentes se utilizan para manipular los compradores: Product placement horizontal: Para aumentar la concentración de un cliente en un determinado artículo, una colocación horizontal múltiple al lado de un producto se aplica. Algunos minoristas descubrió que una colocación mínima oscila entre los 15 y los 30 cm de un solo producto es necesaria para conseguir un aumento de la atención al cliente (consulte la Figura 6-9 ). Colocación Vertical del producto: otro método utilizado es la colocación vertical del producto. Aquí uno de los productos se coloca en
más de un nivel de estante para conseguir 15-30 cm de espacio de colocación (vea Figura 6-10 ).
Figura 6-9: Colocación del mismo o artículos similares en una fila horizontal aumenta el foco en el cliente.
Figura 6-10: los mismos productos se colocan en más de una bandeja.
Colocación de bloque: productos que tienen algo en común, son colocados en un bloque (marcas). Esto puede hacerse uno al lado del otro, en la parte superior de
Sí, centrado o con perchas magnetizado (vea la Figura 6-11 ). Figura 6-11: bloque la colocación de productos o marcas similares.
Planograms no son el único método de manipulación de los compradores. Una prueba realizada implicó un shopping mall ejecutando específicamente diseñado bucles musicales. El resultado fue que los compradores nos alojamos en el mall, un promedio de 18% más cuando la música no estaba funcionando. En la Revista de Investigación de Negocios , Jean-Charles Chebat y Richard Michon publicó un estudio que realizaron en un centro comercial canadiense ( www.ryerson.ca/~rmichon/Publicaciones/Ambient%20olores.pdf ). Los investigadores bombeado aromas especialmente diseñados en el aire que se suponía iban a desencadenar la felicidad y el deseo de comprar. El resultado fue que un promedio de 50 dólares más shopper fue gastado en esa semana de estudio.
Sus viajes a los centros comerciales y tiendas de comestibles nunca será lo mismo ahora. Sin embargo, usted puede aprender mucho de estos métodos y experimentos. Saber cómo agrupar las cosas en sus cerebros pueden afectar cómo organizar sus estantes para manipular los sentimientos, emociones y pensamientos de tus objetivos. Sobre el tema de colores, son una gran manera de manipular las emociones
de un destino. Muchos de los mismos principios se aplican a los colores como lo hacen a la colocación de productos. Los colores que seleccione al desgaste o uso puede afectar a la meta. Mucho
De la investigación se ha realizado sobre los colores y sus efectos. La siguiente es una lista breve de algunas de las maneras de un color en particular podría afectar el pensamiento o las emociones de otra persona: Blanco: el blanco es a menudo asociado con la pureza, la luz y la limpieza. Da la sensación de seguridad y neutralidad, así como la bondad y la fe. Esta es la razón por la que el blanco es utilizado a menudo en bodas o como el color de la rendición. Negro: Negro a menudo denota el poder, la elegancia, el misterio y la fuerza. Se utiliza para denotar autoridad, profundidad y estabilidad. Negro da la sensación de calma y tranquilidad. Porque contrasta con otros colores, también se puede utilizar para mejorar otros colores. Rojo: el rojo es asociado con alegría y emoción. Es una celebración llena de color, acción y energía. Puede indicar la buena salud, la velocidad, la pasión, el deseo y el amor. Roja puede estimular las emociones, así como aumentar la frecuencia cardiaca, respiración y presión arterial.
Rojo puede provocar fuertes emociones, tenga precaución cuando utilice rojo. A pesar de que puede denotar el poder y la impulsividad, puede indicar el uso de la fuerza, la intimidación y la conquista, incluso de violencia y de venganza. Tenga cuidado de cómo usar rojo. Naranja: Orange da calidez, entusiasmo, atracción, determinación, fuerza y resistencia. Puede estimular a una persona a sentirse vigorizado e incluso estimular su apetito.
Naranja es un color adicional a ser cautelosos. Aunque el uso de naranja tiene muchos buenos beneficios, como hacer que el espectador se siente caliente y atrajo a usted o su producto, demasiado o la combinación incorrecta puede crear sentimientos de inseguridad, ignorancia y pereza.
Oro: El oro es generalmente asociado con iluminación, sabiduría, riqueza y prestigio. Amarillo: El amarillo es asociado con energía y optimismo, alegría y gozo, la lealtad y la frescura. Puede hacer que una persona se sienta centrado y atento. Amarillo tiene también un impacto en la memoria de la persona (por qué
son tantas las notas adhesivas amarillas?). Se usa en pequeñas cantidades, puede provocar emociones positivas, pero demasiado puede causar una meta para perder el foco o sentirse criticado.
Verde: el verde es a menudo asociada con la naturaleza, la armonía, la vida, la fecundidad, la ambición, la protección y la paz. Puede producir un efecto calmante, haciendo que la persona se sienta segura. Energía verde es otro color pero también puede hacer que uno se sienta culpable, avariciosos.
Los celos, y desordenada si se utiliza en una configuración incorrecta o utiliza demasiado.
Azul: el azul es asociado con el color del cielo y del océano. Puede estar ligado a la inteligencia, la intuición, la verdad, la tranquilidad, la salud, la energía y el conocimiento. Es muy calmante y refrigeración y se ha sabido para ralentizar el metabolismo. El azul es el color más fácil para los ojos para enfocar. Puede tener muchos efectos positivos, pero debe tener cuidado de no hacer el destino sentir frío o deprimido.
Violeta: Púrpura está asociado con la realeza, nobleza, lujo, creatividad y misterio. Brown: Marrón está asociado con la tierra, la fiabilidad, la accesibilidad, la Convención, y el orden. Puede crear emociones de arraigo o conectado, o tener una sensación de orden. ¿Cómo puede utilizar toda esta información? No estoy sugiriendo que con un simple atuendo azul puede hacer que la persona se sienta lo suficientemente tranquila a mano usted su contraseña. Sin embargo, usted puede usar esta información para planear sus vectores de ataque, asegurando que tiene la mejor oportunidad de éxito, que incluye cómo te ves y cómo está vestida. Un ingeniero social quiere analizar el destino pedirán, y asegúrese de que los colores que elija al desgaste aumenten su capacidad para manipular el objetivo y no desactivarlos. Por ejemplo, sabiendo que el verde pueden suscitar sentimientos de avaricia o ambición puede ayudar a un ingeniero social deciden no vestirse de verde a una reunión con una caridad donde podría evocar emociones y sentimientos contrarios a la caridad de su misión. Llevar algo azul a un abogado de la oficina, por otro lado, puede tener un efecto calmante, permitiendo al abogado para abrirse más. La planificación cuidadosa y el uso sensato de estas tácticas pueden ayudar a garantizar el éxito de sus auditorías de ingeniería social.
Objetivos de acondicionamiento para responder positivamente Acondicionado se usa en todo, desde una conversación normal al marketing para manipulación maliciosa. Justo como el perro de Pavlov, la gente han sido condicionados a responder a ciertos temas. La naturaleza humana es a menudo utilizada para manipular a la mayoría de la gente a
tomar acciones los manipuladores que desee.
Cuando la mayoría de la gente piensa de los bebés van a sonreír, nos encontramos hablando de animales "lindo", e incluso podríamos ser manipulado para cantar una canción para un producto muy popular en nuestra cabeza. Estas tácticas son tan encubierta que muchas veces ni siquiera sabemos que están trabajando. Muchas veces me pregunto qué pobremente vestidos, bikini-vestidos de mujer tiene que ver con la cerveza.
Un ejemplo de cómo se utiliza el acondicionador de neumáticos Michelin (vea Figura 6-12 ). Durante años, esta empresa ha utilizado los bebés en sus anuncios. ¿Por qué? "porque es mucho lo que está montando en los neumáticos." Pero estos anuncios tienen más que ellos. Puede ver un bebé, te sonríe, y eres feliz. Esa emoción desencadena una respuesta positiva, y esa respuesta condiciones para ser agradable a lo que se dice a lo siguiente. Cuando vea que el bebé usted sonrisa; cuando vea lo suficiente que están condicionados a pensar en caliente, está feliz cuando vea los neumáticos Michelin.
Figura 6-12: no son bebés cute?
Ver al bebé junto a la llanta te hace feliz sentimientos positivos equiparar con esa marca. Este es un ejemplo clásico de la manipulación. Otro anuncio (vea la Figura 6-13 ) que podían haber tenido muchas personas preguntan de Budweiser-recordar aquellos populares ranas eructo fuera "Bud" "weis" y "er"? ¿Qué es lo que las ranas tienen que ver con la cerveza? A lo largo de estas mismas líneas, piense en el más reciente caballo Clydesdale y su banda de amigos de los animales. Estos anuncios son pegajosas, incluso gracioso la primera vez, pero no realmente explicando por qué desea comprar su cerveza.
Figura 6-13: ranas vendiendo cerveza.
Este tipo de manipulación, acondicionamiento, es sutil. Usted se ríe de ese comercial, y después tirar en tu distribuidor de cerveza local, ver una figura de cartón de las ranas o a caballo, y la sonrisa a usted mismo, lo que crea ese sentimiento positivo que te hace sentir agradable para comprar el producto. Estas tácticas de acondicionamiento se utilizan a menudo en el mundo de ventas y marketing de empresas con el objetivo de manipular al consumidor a comprar sus productos a través de la competencia. Los ingenieros sociales no son, en verdad, la venta de un producto, pero no quieren que sus objetivos para "comprar" las líneas que están vendiendo, el pretexto que están poniendo ahí fuera, y las acciones que desea tomar el destino. Pero, ¿por qué usar la manipulación? ¿Cuáles son los incentivos para utilizar esta poderosa forma de control? En la siguiente sección se trata ese tema.
Incentivos de manipulación ¿Cuáles son los incentivos para manipular a alguien? Esta pregunta va a la raíz de los métodos, el pensamiento y las tácticas utilizadas
en cualquier manipulación. No todo es negativo, pero la manipulación está relacionada con los incentivos detrás de él. Pero cada incentivo puede ser positivo o negativo.
¿Qué es un estímulo? Un incentivo puede ser etiquetada como algo que le motive a tomar una acción. Puede ser dinero, amor, éxito, o cualquier cosa, incluso las emociones negativas como el odio, los celos y envidia.
Las principales razones por las cuales la gente eligió de manipular a los demás puede dividirse en tres categorías: financieros, sociales e ideológicas de los incentivos. En las siguientes secciones, se analizan cada uno de estos incentivos y cómo se aplican a la manipulación. Los incentivos financieros Los incentivos financieros tienden a ser los más comunes, como en los casos citados anteriormente relacionados con el aumento de las ventas. Muchos fraudes tienen un incentivo financiero detrás de sus tácticas. Cómo jugar a la lotería muchas personas cada día con la esperanza de obtener ese boleto ganador? Pueden gastar cientos de dólares en el transcurso del tiempo, y ganar una recompensa de $20 que les hace felices y les impide que regresen por más. Un ejemplo no malintencionada de incentivo financiero es de cupones. Si usted compra este producto particular en este almacén determinado obtendrá X dólares o centavos de descuento. Si usted es un comprador ahorrativo o quieres probar ese producto va a ir a ese almacén.
Muchos anuncios que promuevan el fomento de la educación, carrera, o conjunto de habilidades utilizar incentivos financieros por pintar una imagen que sus ingresos aumentarán después de su curso o educación. El atacante malicioso el incentivo para usar la manipulación es su propia ganancia financiera y, por lo tanto, su motivación y su técnica lo reflejará. Por ejemplo, si el ingeniero social malicioso, la meta es llegar a su objetivo con cierta parte de su dinero duro-ganado, el ingeniero social utilizará pretextos que será "permitida" para pedir dinero-pretextos como organizaciones de beneficencia son adecuados en este escenario porque pidiendo donaciones o información financiera no es fuera de lo común.
Incentivos ideológicos Incentivos ideológicos son las más difíciles de describir. Los ideales de cada persona son diferentes y los ideales pueden afectar el incentivo. Si su sueño en la vida es dirigir un restaurante que es tu
pasión. Usted va a trabajar más horas y poner más esfuerzo que cualquiera de sus empleados. También trabajará por menos dinero, porque es su sueño o su motivación; para todos los demás es sólo un trabajo. Sueños y creencias pueden ser tan arraigadas en una persona que separarlos de la persona puede ser casi imposible. Cuando escuche la frase, "Yo
Tengo un sueño", le pareció de Martin Luther King? Algunas personas los sueños y metas son lo que son, no por lo que piensa. Las personas tienden a ser atraídos a aquellos con sueños y metas similares, razón por la cual la frase, "Pájaros de una pluma flock juntos" se aplica tan bien en este debate. Pero es también el motivo por el que tantas personas puede ser manipulado. Mire televangelists cristiana, por ejemplo. Las personas que tienen una fe y deseo de creer en Dios flock juntos. Personas afines pueden reforzar mutuamente la fe y el deseo de hacer lo correcto, pero un televangelist puede utilizar esa ideología para convencer a la gente de que el deseo de Dios es para que la Iglesia particular para prosperar, por lo tanto también recubre el televangelist" bolsillos con dinero en efectivo.
El televangelist da unos sermones motivador y arroja algunas lágrimas y de repente la gente están enviando en los controles. Estos televangelists utiliza herramientas de tanto financieros como ideales sociales (véase la sección siguiente, "incentivos sociales") para convertir a sus oyentes a sus ideales para aquellas personas con su dinero duramente ganado. Lo interesante es que si le pides a un seguidor de cómo se siente acerca de la forma en que el predicador más ricos que él es, él cree que es la voluntad de Dios. Su conjunto ideal ha cambiado o ha sido manipulado. Incentivos ideológica también puede ser usado para el bien por educar a la gente acerca de la moral, e incluso recurrir a utilizando el miedo como incentivo puede tener grandes efectos en las personas. Los incentivos suelen ideológica les enseña a los niños a través de cuentos y fábulas que tienen significados detrás de ellos. Los hermanos Grimm son un excelente ejemplo de este tipo de incentivos. Historias que suelen acabar en los caracteres mal sufren daños físicos o incluso la muerte y los buenos personajes, perseverando a través de todas las formas de penurias, obteniendo una gran recompensa al final se basa en el temor de ser malo que conduce a la muerte o algún castigo terrible. Se utilizan incentivos ideológica en la comercialización, también, a través de colocar anuncios donde "afines" a menudo ideales "satisfacer". Por ejemplo, el mercado de las empresas de pañales en revistas de la familia mercado, refugios para animales en zoológicos, marcha atlética de mercado de las empresas en los eventos deportivos, y así sucesivamente. Los incentivos de este tipo da una mayor probabilidad de que los bienes o servicios que se anuncian serán comprados por aquellos que comparten los mismos ideales.
Se utilizan incentivos ideológicos para traer uno de los ideales en alineación con las de una mentalidad similar. A menudo, una vez que
las personas son favorables a una causa es cuando las tácticas de manipulación de inicio. Manipulación de nuevo, no todo es malo, pero tiene que ser utilizada de la manera adecuada.
Incentivos sociales Incentivos sociales son probablemente los más ampliamente utilizados y el más complejo
Conjunto de incentivos, especialmente cuando se trata de ingeniería social. Los seres humanos son por naturaleza sociales; es lo que hacemos en la vida diaria normal. Sociales
Los incentivos también abarcan todos los otros tipos de incentivos. La relación correcta puede mejorar sus necesidades financieras y también puede ajustar, alinear o aumentar sus ideales. Podría argumentarse que los incentivos sociales son más fuertes que los otros dos tipos de incentivos. El poder que tiene la presión de sus pares a través de muchas personas es fácil de ver. Para jóvenes y viejos, el sorteo de conformidad es poderoso. Muchas veces, aquello que es aceptable está directamente vinculada a un incentivo social. La concepción de la vida y el auto puede verse muy afectado por su entorno social. En esencia, la presión de los compañeros puede existir incluso en la ausencia de los compañeros directos.
Soy buena mirando? Bueno, eso depende. Si estoy en los Estados Unidos donde una supermodelo es un tamaño cero y los chicos tienen músculos en lugares que yo no sabía que los músculos, probablemente no existía. Si estoy en la antigua Roma, donde quizás sea más grande significaba que era rico y poderoso, entonces yo soy. Todo su interior está enmarcada por su visión social del mundo. En 1975, la Fuerza Aérea de los Estados Unidos ejecutó un estudio titulado "Identificación y análisis de incentivos sociales en la formación técnica de la Fuerza Aérea" para tratar de ver el poder de incentivos sociales sobre la creación de dirigentes durante sus ejercicios de entrenamiento. Se ejecutó cuatro escenarios diferentes con un grupo y analizaron los efectos que tenían sobre los estudiantes. Los resultados finales fueron que un cierto incentivo social, generalmente involucrando alabanza o el refuerzo positivo de sus compañeros o figuras de autoridad, ha creado un fuerte vínculo entre los estudiantes y los instructores: La conclusión más importante de todo este esfuerzo de investigación es que la gestión de incentivos sociales es un arte especialmente difícil mientras incentivos sociales pueden ser identificados y escalan con gran facilidad, manipulación y gestión de los mismos incentivos requiere mucho más esfuerzo. Los datos demuestran que la escala de alto valor atractivo para diversos incentivos sociales. Los resultados de los experimentos de campo muestran la influencia positiva de la convivencia y el contrato psicológico ejercicio sobre las actitudes para con los demás participantes. Ambos de estos descubrimientos
subrayan la importancia de los factores sociales.
En otras palabras, aumentando o disminuyendo el atractivo de los incentivos sociales no es demasiado difícil una vez que usted sepa qué es lo que motiva a una persona. Este fenómeno es particularmente evidente en los grupos de adolescentes. Cuando se enteran de lo que molesta a alguien, a menudo se usa como un arma para obligar a su cumplimiento. Cuanto mayor sea el grupo que proporciona la presión, mayor será la probabilidad de que el objetivo se cumpla.
Esta es una poderosa declaración. Me pregunto cómo la investigación que habría pasado si los investigadores han sido capaces de utilizar la plétora de los sitios de medios sociales que existen en la actualidad. La presión de los pares es una fuerte influencia y todo el mundo quiere integrarse y ser parte de la multitud. Los incentivos de trabajo social. En 2007 un grupo de investigadores (Oriana Bandiera, Iwan Barankay, e Imran Rasul) escribió un artículo de investigación titulado, "incentivos sociales: las causas y las consecuencias de las redes sociales en el lugar de trabajo" ( www.socialengineer.org/wiki/archives/Manipulation/Manipulation-SocialIncentivespdf.pdf ). El informe es un estudio interesante a lo largo de las líneas de la Fuerza Aérea, pero el estudio establecido en 2007. Básicamente, los investigadores analizaron cómo quienes tienen "amigos" en el trabajo de manejar sus trabajos cuando trabajan en grupos con sus amigos. Su conclusión: Nuestros hallazgos indican que hay incentivos sociales-la presencia de amigos afecta a la productividad de los trabajadores, pese a no existir externalidades de trabajador esfuerzo hacia sus compañeros debido a la tecnología de producción o sistema de compensación en el lugar. Debido a incentivos sociales, los trabajadores se ajustan a una norma común cuando trabajan juntos. El nivel de la norma es tal que la presencia de amigos aumenta la productividad de los trabajadores que son menos capaces que sus amigos y disminuye la productividad de los trabajadores que son más capaces que sus amigos. Incentivos sociales son cuantitativamente importante determinante de un rendimiento del trabajador. Como los trabajadores son pagados a destajo basado en la productividad individual, la fortaleza de incentivos sociales es tal que (i) los trabajadores que son más capaces que sus amigos están dispuestos a renunciar al 10% de sus ganancias para ajustarse a la norma; (ii) a los trabajadores que tienen al menos un amigo que es más capaz que ellos mismos están dispuestos a aumentar la productividad en un 10% para cumplir con la norma. En general, la distribución de la capacidad del trabajador es tal que el último efecto domina de manera que el efecto neto de incentivos sociales sobre el desempeño de las empresas es positiva. La presencia de amigos significaba que una persona realmente funciona más o menos difícil dependiendo de su nivel normal de trabajo. La presión de los pares con la ausencia de la presión real puede afectar el
trabajo de las personas. La presión es percibido por lo que es estándar. ¿Por qué? Quizá si una persona podría trabajar más rápido o mejor, ella probablemente no desee parece ser que todo lo sabe o marrón-noser, como estas personas pueden ser llamados. Quizás si él es normalmente más de un slacker, no quería parecer perezoso para él empujó el ritmo un poco. En cualquier caso su ética del trabajo fue afectado por tener amigos.
Un buen punto para la gestión es poner siempre los más trabajadores y líderes naturales sobre el grupo. Pero hay mucho que aprender en esta investigación.
Este método es cómo los ingenieros sociales utilizan "cola-gating" estar en una gran multitud de gente que volvía de descanso o almuerzo y busca como uno de los empleados, se reduce la posibilidad de que el guardia de seguridad se detendrá mientras usted camina a través de las puertas delanteras. Es también la forma de grupos enteros de personas puede ser manipulado en el pensamiento de una determinada acción o actitud es aceptable. Usted puede ver esto en la industria del entretenimiento, como cada año, el estándar de lo que es aceptable o moral parece conseguir bajado, pero esta caída en los estándares se vende como "libertad".
Estos tres incentivos no son los únicos tipos que se utilizan. Pueden se ramifican en otros aspectos más allá del alcance de este libro, pero la pregunta todavía surge de cómo puede utilizarlas como un ingeniero social.
Manipulación en la ingeniería social La manipulación es menos acerca de cómo hacer que otros piensen como usted y hacerlos sentir cómodos, y más sobre los coacciona a hacer lo que desee.
La coacción no es una palabra amable. Que significa "a la fuerza para actuar o pensar de cierta manera" o "dominar, restringir o controlar por la fuerza". La manipulación y la coerción psicológica el uso de la fuerza para alterar la ideología, las creencias, las actitudes y los comportamientos de la meta. La clave para utilizarlos es hacer los pasos tan pequeñas que son casi invisibles. El ingeniero social no quiere alertar al objetivo que él mismo está siendo manipulado. Algunos de los siguientes métodos pueden ser muy polémicas y francamente horrible, pero son utilizados cada día por los estafadores, ladrones de identidad y similares. Uno de los objetivos de la manipulación se puede crear ansiedad, estrés y a una excesiva presión social. Cuando un destino se siente de ese modo es más probable que tome una acción el ingeniero social está manipulando a tomar.
Con esto en mente, usted puede ver por qué la manipulación es a menudo pensaba en una luz negativa, pero es usado en la ingeniería social y por lo tanto debe ser
discutida. Aumentar la sugestibilidad del destino Aumentar la sugestibilidad del destino pueden implicar el uso de la neurolinguistic programming (NLP) habilidades que se tratan en el capítulo 5 u otras indicaciones visuales. Anteriormente puede leer acerca de la gente con el acondicionador de uso de lápiz clics u otros
Ruidos o gestos que pueden provocar una emoción incluso cuando las palabras no son pronunciadas. Una vez vi esto en acción cuando yo estaba con una persona que estaba manipulando un destino. Él utilizó un Pen haga click para indicar un pensamiento positivo. Él diría algo positivo y luego sonría y haga clic en su pluma. Literalmente, vi que la persona comience a sonreír tras unas cuatro o cinco veces de escuchar el Pen haga click. Entonces, él trajo un tema muy deprimente y ha hecho clic en su pluma, y entonces el destino sonrió y me sentí avergonzado al instante. Esa vergüenza fue la puerta abierta que necesitaba para manipular el destino para hacer lo que él quería.
Crear una situación donde la otra persona se siente susceptible a la sugerencia puede ser a través de la repetición de ideas o de otros medios que suavizará el destino a las ideas que están tratando de presentar. Un ingeniero social puede asegurarse de que toda la configuración se orienta hacia esta manipulación-frases utilizadas, la palabra imágenes pintadas, la ropa de colores elegidos para el desgaste. Todo ello puede hacer que la meta más susceptibles. William Sargant, un polémico psiquiatra y autor del libro la batalla de la mente , habla sobre los métodos por los cuales las personas son manipuladas. Según Sargant, diversos tipos de creencias pueden ser implantados en personas después de que el objetivo ha sido perturbado por el miedo, la rabia o la emoción. Estos sentimientos provocan mayor sugestibilidad y deterioro en el juicio.
Un ingeniero social puede utilizar este dispositivo para su provecho ofreciendo el destino una sugerencia que provoca el miedo o la emoción y, a continuación, ofrecer una solución que se convierte en una sugerencia. Por ejemplo, en el éxito de la BBC TV mostrará el verdadero ajetreo , el elenco corrió una estafa para mostrar cómo funciona esto cuando configure un stand en un centro comercial que permitió a la gente comprar boletos de rifas. La gente compraba un boleto para una oportunidad de ganar tres premios vale mucho más que el billete que acaba de comprar. Una mujer compró el boleto, y, por supuesto, ella ganó el premio mayor. Su entusiasmo era extrema, porque ella nunca había ganado algo como esto antes. En este punto, Paul Wilson dio la sugerencia de manipular a ella: a la altura de emoción le dijo que tenía que llamar a un número de teléfono y proporcionar su información bancaria para reclamar su premio.
Lo hizo sin un segundo pensamiento. La sugerencia que
hace sentido, especialmente a la luz de su entusiasmo. Conocer el destino y sus gustos, aversiones, kids' nombres, equipos favoritos, y alimentos favoritos y, a continuación, utilizar esto para crear un clima emocional hará creando un ambiente susceptible de manera mucho más fácil.
Controlar el entorno del destino Controlar el entorno del destino se utiliza a menudo en la ingeniería social en línea, fraude y robo de identidad. Formar parte de las mismas redes sociales y grupos proporciona al atacante la oportunidad de tener "cara de tiempo" para poder manipular las metas a actuar o pensar la forma en que el atacante quiere. Ser capaz de utilizar las redes sociales de un destino para averiguar qué desencadena tienen también es una herramienta poderosa.
He utilizado este método una vez al buscar un estafador es ilegal para un cliente que quería obtener los detalles de contacto del estafador. Yo era capaz de obtener una cuenta en un foro que se utiliza para publicar sus "logros". Usando esta táctica de meterse en su entorno, entonces se hace amiga de él, yo era capaz de ganarse su confianza, utilizar sus redes sociales para saber lo que estaba haciendo, y eventualmente obtener su información de contacto. Cualquier método utilizado para controlar el entorno de destino puede ser utilizado en esta manipulación técnica. Controlar el medio ambiente puede ser tan simple como acercarse cuando usted sabe que tienen la menor posibilidad de interrupción, o permitiendo un destino para ver o no ver algo que va a provocar una reacción. Por supuesto, a menos que planee traer su destino a un armario oscuro, no puedes controlar todo su entorno, a fin de controlar tanto como usted puede tomar la planificación y la investigación. Una vez que localice el destino de los círculos sociales, ya sea en línea o en el mundo real, tendrá que dedicar tiempo a planificar cómo obtendrá un control de ese entorno. Una vez dentro, ¿qué elementos desea controlar? Un buen ingeniero social no vendrá en postularse para la "kill shot", pero tomará tiempo para construir una relación y recopilar información antes de que el golpe final es administrado. Control del entorno se utiliza a menudo en la policía o en tiempos de guerra en los interrogatorios. El entorno donde se llevará a cabo el interrogatorio tendrá una cierta atmósfera para que el destino se sienta a gusto, nervioso, asustado, ansioso, o cualquier otra emoción el atacante (o plomo officer) quiere el destino de sentir.
Forzar el destino a revaluar Un objetivo socavar las creencias, conciencia o control emocional de una circunstancia que puede tener un efecto desestabilizador sobre él o ella. Esta táctica es muy negativo porque se utiliza para realizar
un objetivo duda de lo que él o ella ha dicho es cierto. Los cultos utilice esta táctica para aprovecharse de aquellos que buscan orientación a través de la vida. Muchas veces, la gente que se siente perdido o confundido están convencidos de que todo su sistema de creencias debe ser reevaluada. Cuando los cultos tienen control pueden
Ser tan convincente que las víctimas pueden estar totalmente convencida de que su familia y amigos no saben qué es lo mejor. En un nivel personal de ingeniería social puede hacer que una persona se replantee la creencias ha sido enseñado sobre lo que es seguro y lo que no lo es, o lo que es la política corporativa y lo que no lo es. Cada día los ingenieros sociales utilizan tácticas similares presentando uno bien pensado y pregunta que puede causar el destino a reevaluar su posición sobre un tema y le causa a vacilar. Por ejemplo, en esta economía, los vendedores están ansiosos por hacer ventas, y usted puede llamar al departamento de ventas de una empresa que tiene una política estricta sobre la descarga de archivos PDF desde la web, sin el debido análisis y precauciones. Todavía puede realizar esta llamada: "Hola, estoy con la Empresa ABC y quiero hacer un pedido para el producto que podrían ser más de 10.000 piezas. Mi empleador me quiere conseguir tres presupuestos para ver si podemos hacerlo mejor. He subido el paquete de presupuesto a nuestro sitio web; puedo darle la dirección URL? Voy a una reunión de dos horas. Usted puede mirar en el paquete y mandarme un presupuesto preliminar antes?" Creo que esta táctica funcionaría? Lo más probable es que el vendedor podría descargar y ejecutar ese archivo con poco o ningún pensamiento. Tienes le causó a reevaluar la política ha sido enseñada.
Haciendo el destino se siente impotente Haciendo que la meta se sienten vulnerables o débiles es otra muy oscura, pero eficaz, táctica. A menudo se utiliza en la ingeniería social cuando el pretexto es enojado un ejecutivo o alguien que debería tener el poder sobre el destino. Enojado por la falta de respuesta o la incapacidad del destino para dar respuestas rápidas, el atacante berates o amenace la meta, lo que le hace dudar de su posición y la sensación de una pérdida de potencia. Otra forma más sutil se utiliza es socavar el sistema de creencias mediante incentivos sociales. En una auditoría, yo estaba parado por un custodio mientras hacer exploraciones de la red interna. Cuando ella hizo lo correcto para detener, me reaccionó con algo como, "Sabía usted que cada año, esta empresa se ocupa de una batalla constante contra las
infracciones de la red? Estoy tratando de lograr, y usted está intentando me impide realizar mi trabajo!".
Mi actitud prepotente le hizo sentirse impotente y ella retrocedió. Dando la impresión de un destino que él no tiene tiempo para pensar o hay graves
Urgencia también pueden hacerle sentir impotentes. Él no puede tomar el tiempo para pensar en cómo manejar un problema y, por tanto, debe tomar una decisión en una manera él sabe que no debería hacerlo. Esta táctica se utiliza después de los recientes terremotos en Haití. Se lanzó un sitio Web que afirmaban tener información sobre sus seres queridos que podrían haberse perdido. Debido a que su reclamo fue que nadie fue capaz de proporcionar información sobre sus seres queridos, pero este grupo que creó el sitio, ellos podrían exigir ciertos criterios que deben cumplirse para obtener esta información. Muchas personas, sintiéndose desesperanzados e impotentes, entró demasiada información y hacer clic en cosas que sabían que no deberían y al final fueron dañadas por ella. La BBC emitió un reportaje sobre este tema y se enumeran algunas sugerencias para permanecer protegido: Http://news.bbc.co.uk/2/hi/business/8469885.stm .
Trasvasar Nonphysical castigo Estrechamente vinculado a hacer el destino se siente impotente es hacerlos sentir culpa, humillación, ansiedad o pérdida de privilegios. Estos sentimientos pueden ser tan fuertes que un objetivo podría hacer nada para "recuperar el favor". Culpa por no dar lo que se esperaba puede causar humillación y duda, que puede provocar que el objetivo para reaccionar de la forma en que el atacante quiere. No sugiero con humillaciones, en la mayoría de los ajustes de ingeniería social, pero he visto que es usada en un objetivo en un esfuerzo de equipo para abrir la puerta, y el otro miembro del equipo de ingeniería social para suavizar la superficie del objetivo, haciéndolos más maleable a la sugestión. El primer atacante se acercó a la meta en un entorno público tratando de obtener información; él estaba jugando el papel de alguien importante. En medio de la conversación de un subyacente, que pasó a ser femenina (y en el equipo), vino y una pregunta que enfurecido al primer atacante. Él reaccionó diciendo, "Tienes que ser la persona más estúpida que jamás he conocido". En un ataque de ira se marchó. La hembra atacante parecía abatido y herido y fue rápidamente confortado por el destino, que alimenta en su actuar. El objetivo de la empatía le permitió ser manipulado para dar más información de lo que él quería.
Intimidar a un destino La intimidación no es una táctica que usted podría pensar de usar en un sentido tradicional en la ingeniería social. No vas a amarrar tu objetivo e ir todos los "Jack Bauer" sobre él, pero puede utilizar la intimidación en formas sutiles.
Sugiriendo que su incumplimiento puede conducir a ser despedidos o otras consecuencias adversas puede intimidar al destino para reaccionar de una manera determinada. Los gobiernos suelen utilizar esta táctica para manipular a la sociedad a creer que el sistema económico está colapsando. De esta forma se pueden controlar las emociones de los que gobiernan. Usted puede utilizarlo en una auditoría ingeniería social incluso por tener una apariencia intimidante. Mirando ocupado, molesto, y en una misión puede intimidar a muchos. Hablando con expresiones muy autorizado también puede intimidar a la gente.
En los negocios, enviar cosas por correo certificado o mensajero denota un nivel de intimidación. Hacer que la persona para firmar un paquete cuyo contenido es desconocido puede hacer que algunas personas intimidado. El objetivo de esta manipulación táctica es que el destino se siente intranquila y ansioso, lo que puede causarle a reaccionar de una manera más tarde se lamentan, pero entonces es demasiado tarde.
Estas técnicas de manipulación más oscuros son utilizados con éxito por los ingenieros sociales y auditores profesionales. Manipular a una persona a sentirse completamente indefensos causa que él o ella siente que ceder ante el atacante tiene sentido. Que realmente es donde difiere de manipulación en una práctica de ingeniería social de otras formas de influencia. Manipulación del negativo con el ingeniero social las hojas y no le importa cómo el destino se siente más adelante. Incluso si un objetivo se da cuenta de que ha sido objeto de ataque, no importa porque el daño ya está hecho y la empresa o persona ya está infiltrada.
Otros aspectos de la manipulación de ingeniería social son tan potentes pero no tan oscuro. Mediante manipulación positiva Manipulación positiva tiene los mismos objetivos en mente como manipulación del negativo -al final el objetivo está alineado con sus pensamientos y deseos. Las diferencias están en cómo llegar allí. Pero positivo en la manipulación, el destino no necesitan terapia cuando haya terminado. A lo largo de mis años de investigación, he recopilado algunos consejos acerca de cómo interactúan los padres con sus hijos para llegar a cumplir con los deseos de los padres. Algunos de sus puntos positivos son útiles para la manipulación de los ingenieros sociales. Las siguientes secciones
cubren algunas de estas técnicas positivas.
Desconecte su emoción a partir de su comportamiento Mantener tus emociones aparte de su comportamiento del destino es importante. Tan pronto como dejas que tus emociones se involucren el destino está manipulando.
Usted puede sentir emoción, por supuesto, pero estar en control de lo que sientes y cómo mostrar lo que estás sintiendo. Usted no quiere ser el uno fuera de control. Usted también desea controlar las emociones negativas tanto como sea posible para que pueda permanecer en control en todo momento. Desconectar tus emociones también pueden poner a las personas en la facilidad. Esto no significa estar desprovisto de emoción; que no es un consuelo para las personas. Pero si alguien es realmente molesto, mostrando el buen nivel de preocupación es buena, pero si la pantalla de la emoción es demasiado puede compensar el destino y arruinar el concierto.
Mantener tus emociones en alineación con el pretexto de que están tratando de lograr. Si no desea permitir que tus emociones a involucrarse puede permanecer en control en todo momento. Un buen ingeniero social es capaz de hacerlo, a pesar de las acciones o actitudes mostradas por el destino. Si el destino es molesto, enojado, beligerante, grosero, o si alguna otra emoción negativa aparece, un buen ingeniero social permanece en calma, fresco, y recogido.
Busque el positivo mencionar Siempre que pueda, encontrar algo para hacer una broma sobre o felicitación, pero sin ser pesados. Usted no desea caminar hasta el guardia de seguridad y diga, "dos monjas andando en un bar…." Este método probablemente no va a pasar demasiado bien. Al mismo tiempo, no puedes caminar a la oficina y decir a la chica detrás del mostrador, "Wow, estás bastante".
Encontrar algo positivo mencionar pone a todos a gusto, pero debe ser equilibrada, controlados y de buen gusto. Utilizando el ejemplo de acercarse a un guardia de seguridad, tras presentar a usted, complementando la imagen de sus hijos diciendo algo como, "Wow, ella es realmente lindo; cómo es viejo, cuatro o cinco? Tengo una niña en casa, demasiado", puede ir un largo camino hacia la apertura de la puerta.
Asumir, supongamos, supongamos Usted probablemente ha escuchado lo que dicen acerca de las personas que asumen, pero en este caso, supongamos que todos asumen que el destino actuará de la forma que desee asumir él
responderá de la manera que usted desea, y asume que él le conceda todas sus peticiones. Asumir con las preguntas que hace y de las declaraciones que usted haga. "Cuando vuelvo de la sala del servidor…". Esta declaración supone que pertenece allí y ya se ha concedido el acceso. Guardia de seguridad en la situación mencionada anteriormente, después de la
Elogio quizas ofrecer un seguimiento: "Cuando yo regrese de controlar los servidores, te mostraré una imagen de mi hija". Suponiendo que lo que usted desea se producirá es un punto fuerte, demasiado, porque afecta a su mentalidad. Debe tener la mentalidad de que usted está recibiendo lo que quieras; esa creencia sistema creará un nuevo lenguaje corporal y las expresiones faciales que alimentarán a su pretexto.
Si vas en espera de fallo puede fallar o en el mejor de los casos, ello afectará a su lenguaje corporal y las expresiones faciales. Si tienes la mentalidad de que este acuerdo se realiza, la misma se llevará a cabo. Una palabra de precaución, aunque no se tome este paso hasta ahora se vuelven arrogantes.
Por ejemplo, yendo al pensar "tengo naturalmente presente en la bolsa porque soy increíble y la mejor", puede afectar la manera en que usted venga y apagar el objetivo rápidamente. Pruebe diferentes líneas de apertura Iniciar una conversación con el estándar por qué/lo/cuando es común pero probar un enfoque diferente y ver qué sucede. El grupo de investigación que ejecuta un popular sitio de citas ( www.okcupid.com ) compiló datos que muestra el valor de empezar con los abresurcos no tradicionales. Recuerde que la discusión acerca de elogios? Además, los chicos OkCupid encontró que comienza con "demasiado grande" de un elogio tuvo el efecto inverso de lo que uno podría pensar. Palabras como sexy, hermosa y caliente , tenía terribles efectos sobre las personas, mientras que palabras como cool, increíble y fascinante tuvo un mejor efecto. Saludos habituales en estos muchachos encontraron que diciendo cosas como "hola", "Hey" y "hola" dejó la sensación de destino blah y desmotivados, mientras que "Cómo van las cosas?", "What's up?", "Howdy", y "hola" eran fuertes los abresurcos para utilizar.
Por supuesto, estas estadísticas son about dating, pero el punto que se debe aprender es que las personas reaccionan mejor saludos no tradicionales. Del mismo modo, en una situación de ingeniería social, varían en su enfoque y usted puede notar un aumento en la forma en que reacciona el destino del mensaje.
Utilice Pretérito Cuando desee dirigirse a cualquier cosa negativa que no desea repetir el destino, póngalo en el pasado. Esta técnica coloca las actitudes y acciones negativas del pasado en su mente, presentándolo con el nuevo y mejorado "tabla rasa" en la que hacer cosas buenas para usted. Por ejemplo:
"Cuando me dijo que no podía conseguir en reunirse con el Sr. Smith…".
A diferencia de cuando usted dice: " no puedo llegar a reunirse con el Sr. Smith….
Sólo cambian los tiempos verbales, pero el efecto es muy importante. Da la impresión de que la declaración negativa es tan lejos en el pasado, vamos a pasar a algo nuevo y mejorado. También hace el destino siente que usted siente que está en el pasado. Buscar y destruir Identificar, mapear y planear cómo manejar cualquier perturbación o actitudes y acciones negativas. Imagine que su pretexto es ser un tech support guy que tendrán acceso a la sala del servidor. En sus llamamientos anteriores usted sabía que cada día a las 10 de la mañana, un grupo numeroso se apaga un descanso de humo. Usted decide este es un buen momento, ya que las personas son barajar dentro y fuera. Vaya todo preparado, pero como usted entrar en el edificio, la recepcionista, acaba de recibir una mala noticia, y es un desorden emocional. Usted debe tener un plan para el manejo de este trastorno. Si usted espera a pensar acerca de cómo manejar posibles tapones, conversación o influencias perturbadoras, hasta la primera vez que escuche que muy probablemente fallará para manejarlos. Que presenta una idea interesante. Usted tiene que sentarse y pensar como el destino: ¿qué objeciones que plantear? Cuando una persona no sabe de llamadas o se le acerca, ¿qué podría decir? Qué objeciones que podría subir? Qué actitudes tendría que presentar? Pensar en estas cosas puede ayudarle a hacer un plan de juego para estos problemas potenciales. Escribe tus pensamientos y las posibles objeciones del destino y, a continuación, juego de rol. Su cónyuge o amigo significa reproducir el gatekeeper o guardia de seguridad. Por supuesto, él o ella no puede imitar a elementos tales como las expresiones faciales y así sucesivamente. Pero usted puede darle una pequeña lista de conversación de tapones a elegir para probar su regreso. Practicar hasta que se sientan cómodos, pero no escrita. Recuerde que el regreso no es estar estructurado de modo que stiffly no puede alterar en absoluto.
Manipulación positiva puede tener un efecto muy fuerte en el destino. No solamente no le deje sentir violados, pero, si se realiza correctamente se puede sentir realizada y como si hizo algo bueno
para el día.
Resumen La manipulación es un componente clave para la ingeniería social, así como la influencia. Este capítulo abarca esferas del comportamiento humano que se extendió por décadas de
La investigación de algunas de las mentes más inteligente en la tierra. Reacciones comunes al pensamiento de manipular otros podrían ser:
"No quiero manipular a la gente". "Se siente mal estar aprendiendo esto". Estas observaciones representan el modo en que la mayoría de las personas piensan cuando escuchan la palabra manipulación . Es de esperar que ahora estamos convencidos de que la manipulación no es siempre un arte oscuro y puede ser utilizado para el bien. El mundo de la influencia ha sido disecados, investigado y analizado por algunos de los más brillantes psicólogos e investigadores. Esta investigación sirvió como base de mi propia investigación para desarrollar la información de este capítulo. La sección sobre el marco, por ejemplo, puede realmente cambiar la forma de interactuar con la gente, y el concepto de reciprocidad pueden dar forma a su manera de pensar como un ingeniero social y la forma de utilizar la influencia. La influencia es un tema increíble, sin embargo, que los volúmenes de libros dedicados a ese tema por sí solo.
Entender qué desencadena una persona a motivarlo a querer hacer una acción determinada y, a continuación, disponer que la acción parece bueno para el destino, que es el poder de influencia. Este capítulo ilumina la ciencia y la psicología de lo que hace que la gente se marque, y aclaró cómo influencia es utilizada por los ingenieros sociales.
Recuerde, la influencia y el arte de la persuasión son los procesos de obtención de alguien que quiere hacer, reaccionar, pensar o creer en la manera en que usted
desea. El poder de esta afirmación trasciende la ingeniería social y manipulación. Es la clave para modificar cualquier fotograma, la clave para la apertura de cualquier puerta de manipulación, y el camino para convertirse en un maestro de influencia.
Los ingenieros sociales también utilizan muchas herramientas físicas, algunas de las cuales podrían parecerse a ellos fueron sacados de una página de una película de James Bond, y que se analizan en el capítulo siguiente.
Capítulo 7
Las herramientas de la ingeniería social
El hombre es una herramienta de uso animal. Sin herramientas no es nada, con herramientas que él es todo. -Thomas Carlyle
Cuando se trata de ingeniería social tiene un buen conjunto de herramientas que pueden hacer o romper la posibilidad de que el ingeniero social tenga éxito. Además, no es tanto tener las herramientas, sino también poseer el conocimiento sobre cómo utilizarlas que puede cerrar la brecha entre el éxito y el fracaso. Este capítulo analiza las diferencias entre las herramientas físicas, teléfono, herramientas y herramientas basadas en software. Tenga en cuenta que simplemente poseer el más costoso o mejores herramientas no le hará un ingeniero social. En cambio, las herramientas pueden mejorar sus prácticas en materia de seguridad, la forma en que el derecho mezcla de especias puede aumentar una comida demasiado o muy poco puede hacer la comida insípida o irrestible. Usted no quiere mirar como Batman vistiendo un cinturón de utilidad va a un concierto de ingeniería social, ni desea estar en la puerta frontal del destino sin las herramientas adecuadas para obtener acceso.
La categoría Herramientas del ingeniero social tiene el potencial de ser enorme, pero este libro no está tratando de convertirse en un manual sobre cómo elegir cerraduras o falsificar un número de teléfono. En cambio, es un intento de darle suficiente información para decidir qué herramientas podría aumentar su práctica. La primera sección de este capítulo, "Herramientas de Física", se centra en cosas como bloquear picks, calces y cámaras. Algunas de las nuevas e interesantes herramientas están en el mercado que hará que el ingeniero social media siente como James Bond. Este capítulo cubre algunas de estas herramientas y cómo usarlas, e incluso muestra algunas imágenes de las herramientas. Además, en este capítulo se proporciona información sobre el uso del teléfono en la falsificación de un ataque de ingeniería social, continúa con una discusión de algunos de los mejores software basado en herramientas de recopilación de información sobre el mercado y, a continuación, finaliza con una discusión acerca de contraseña herramientas de generación de perfiles.
Herramientas de física La seguridad física se compone de las medidas que las empresas o
personas a permanecer seguras que no impliquen un equipo. Esto implica a menudo cerraduras, cámaras, sensores de movimiento de la ventana, y cosas por el estilo. Comprensión de la seguridad física y cómo funciona es parte de ser un buen ingeniero social. No tienes que ser un ingeniero de estos dispositivos, pero tener una clara comprensión de los mecanismos de seguridad que un objetivo tiene en marcha puede ayudarle a superar los obstáculos que pudieran interponerse en el camino del éxito de una auditoría de ingeniería social.
Selecciones de bloqueo Antes de entrar en el tema de forzar cerraduras, usted tiene que saber un poco acerca de cómo funciona un bloqueo. La figura 7-1 muestra una imagen muy aproximada de un simple bloqueo. Figura 7-1: una sencilla vista de un bloqueo.
Básicamente, la manera en que funciona el bloqueo es que tiene vasos que son manipuladas por la clave. La clave empuja hacia arriba los vasos y pasadores superiores, y cuando ellos se alinean permite la llave para activar y desbloquear la puerta, sala de servidores, armario, y así sucesivamente. Un bloqueo pick simula la clave en el movimiento de todos los pasadores en la posición correcta, uno por uno, permitiendo el bloqueo para girar libremente y abrir la puerta. Se necesitan dos herramientas principales para elegir un bloqueo: picos y una llave de tensión. Picks están los pedazos largos de metal que la curva del final, similar a un dentista de la herramienta. Llegan dentro de la cerradura y mover las patas hacia arriba y hacia abajo hasta que estén en la posición correcta.
Llaves de tensión son pequeños dispositivos metálicos planos que te permiten poner presión sobre el bloqueo mientras utiliza la selección. Rastrillos parecen picks pero son utilizados en un "ranking" moción sobre el bloqueo en un intento de captura todos los pasadores. Es el movimiento rápido de pasar el rastrillo y salir del bloqueo que muchos recolectores de bloqueo encontrar atractivos debido a que normalmente hace el trabajo rápido de la mayoría de los bloqueos.
Para elegir un bloqueo, siga estos pasos: 1. Inserte la llave de tensión en la cerradura y gírela en el mismo sentido en el que se gire la llave. Aquí está la verdadera habilidad sabiendo cuánto tensión a add-uso demasiado o demasiado poco, y los pasadores no caerá en su lugar, permitiendo así que el
bloqueo de giro. Proporcionar la cantidad justa de tensión crea una pequeña cornisa que compensa el tapón lo suficiente para coger el pasador de los ejes. 2. Inserte el pick y usarlo para levantar las patillas uno por uno hasta que se sienta el bloqueo en su lugar. Puede oír un ligero clic cuando un pasador superior cae en posición. Cuando usted consigue todos los pasadores en su posición el tapón gira
Libremente, y usted habrá adquirido la cerradura. El anterior es el $2 tour de abrir cerraduras y apenas roza la superficie. Si desea mayor información sobre bloqueo de la recolección, visite cualquiera de los siguientes sitios web: Http://toool.us/ http://home.howstuffworks.com/homeimprovement/household-safety/security/lockpicking.htm http://www.lockpicking101.com/ Estos son sólo algunos de los muchos sitios dedicados a la educación de recogida de bloqueo. Como un ingeniero social, dedicando tiempo practicando forzar cerraduras, es sabio. Llevar una pequeña selección de bloqueo con puede ser un salvavidas cuando estés delante de un servidor armario, cajón, u otro obstáculo bloqueado que contiene información sustancial.
Conjuntos de selección de bloqueo puede ser tan pequeño como los que se muestran en la Figura 7-2 , que son del tamaño de una tarjeta de negocios normales. Figura 7-2: esta tarjeta de tamaño conjunto de selección de bloqueo encaja fácilmente en un bolso o cartera.
También pueden ser más voluminoso, como se muestra en las Figuras 7-3 y 7-4 .
Figura 7-3: Este juego es aproximadamente del tamaño de una navaja.
Figura 7-4: este bloqueo-pick set es más voluminoso, pero contiene todo lo que necesita .
Una buena recomendación es no dejar que la primera vez que juegues con una cerradura elegir estar en una situación crítica. Personalmente, salí y compré unos Master candados de diferentes tamaños. Después de que yo era capaz de recoger todos ellos I
Luego compró un conjunto de prácticas cerraduras, algo así como los que se muestran en la Figura 7-5 . Estas vienen en muchos diferentes tipos de pin. Bloqueos contienen diversos tipos de pin, lo cual puede aumentar el nivel de dificultad de la recolección. Tener práctica cerraduras de diferentes tipos y tamaños de pin maximiza la eficacia de tus sesiones de práctica. Figura 7-5: Estos see-mediante cerraduras permiten ver cómo le está yendo.
Incluso he visto algunas configuraciones muy bonito en distintas conferencias que sería excelente para el aprendizaje, como un muro de bloqueo caseros. Por supuesto, como usted reunir intel en su destino, tomar fotos o simplemente haciendo nota mental de los tipos, marcas y modelos de los bloqueos que podrían bloquear su camino hacia el éxito es una buena idea. Sabiendo que esta información puede ayudarle a prepararse antes de comprometerse en su intento de ingeniería social.
Uso práctico Bloqueo de la recolección en el cine y en la televisión es retratado de tal manera que uno simplemente pone el bloqueo en selección y unos segundos después, la puerta se abre como por arte de magia. Seguro, algunas personas eligen bloqueos que bien, pero la mayoría de la gente va a encontrar el éxito lentamente, después de innumerables veces aplicando demasiada tensión, frustrándote y, a continuación, en última aprender a verdaderamente rastrillo y elegir un bloqueo. Rastrillan es un talento en sí mismo. Este es el lugar donde se use un rastrillo herramienta y deslice suavemente el rastrillo dentro y fuera de la cerradura al aplicar una ligera presión a la llave de tensión. Esta
técnica funciona en muchos tipos de bloqueos, lo que les permite ser "escogido" utilizando este método simple. Aprender a rake eficientemente un ingeniero social enseña mucho acerca de cómo usar la llave de tensión correctamente y lo que se siente cuando el bloqueo está recogido.
Muchas empresas están comenzando a utilizar RFID, tarjetas de identificación magnéticas u otros tipos de acceso electrónico, lo que puede llevar a creer que el bloqueo Picks están obsoletos. No son, como tampoco lo es la habilidad de abrir cerraduras. Es una buena habilidad para tener que puede ahorrar en un pentest. Aquí está un ejemplo de los beneficios de realizar selecciones de bloqueo con usted: en un combate, encontré un obstáculo que no podía ser social diseñado- una puerta. Sacando un fiel bloqueo de bolsillo pick set y utilizando el método de rastrillado, he tenido acceso en unos 30 segundos. Muchos ingenieros sociales tienen historias como esta, donde entender un poco acerca de los bloqueos y tener las herramientas adecuadas significa éxito en el fin es demasiado a menudo el caso de que las compañías gastarán miles o incluso millones de dólares en su hardware, firewalls, IDS, sistemas y otros métodos de protección y, a continuación, ponerlos a todos en una habitación barata de vidrio y un bloqueo de $20 que lo protege.
La práctica es esencial porque escoger un bloqueo siempre conlleva el riesgo de ser visto o capturado. Debe ser rápido sobre la selección de un bloqueo para reducir ese riesgo. Algunos lugares instalar cámaras para atrapar a la gente en el acto, pero en el final, a menos que la cámara está atendido por una persona viva, sólo grabará una persona romper y robar los servidores. Además, muchas cámaras pueden ser fácilmente inservibles utilizando métodos simplistas de luces LED brilló en la lente o llevar un sombrero o una capucha para cubrir su cara.
Recogida y cerraduras electrónicas magnéticas Cerraduras magnéticas se han vuelto más populares, ya que son muy baratos para funcionar y proporcionar un cierto nivel de seguridad porque no son una cerradura tradicional que puede ser elegido. Cerraduras magnéticas vienen en todas las formas, tamaños y fortalezas. Cerraduras magnéticas, sin embargo, también ofrecen un nivel de inseguridad: Si se apaga el equipo más cerraduras magnéticas se desconecta y el desbloqueo de la puerta. Este es, por supuesto, si el bloqueo no está conectado a una fuente de energía de reserva. Johnny Long, mundialmente famoso ingeniero social y hacker que creó el Google Hacking Database y autor de ningún Tech Hacking , narra una historia de cómo ha derivado una cerradura magnética mediante una percha y la toallita. Notó que las cerraduras estaban desconectados basado en el movimiento de un empleado en caminar hacia la puerta. También observó una brecha en las puertas que era lo suficientemente grande para deslizar una tela adjunta a una percha. Agitar el paño alrededor liberado la cerradura y le dio acceso.
Recientemente tuve la oportunidad de probar esta técnica. Seguramente con un poco de esfuerzo y probar diferentes longitudes de gancho, he tenido acceso en menos de dos minutos. Lo que más me sorprende de todo esto es que, a pesar de cuánto dinero se gastó en el profesional, de grado comercial y bloqueo de puertas de metal con ventanas de cristal a prueba de balas en ellos, con la copia de seguridad de fuentes de alimentación a los candados y cerraduras de
perno autolocking si se apaga el equipo, todo fue frustrado por una percha con un trapo.
Por supuesto hay maneras de más alta tecnología de recolección estos bloqueos. Algunos han creado cloners RFID , es un pequeño dispositivo que puede capturar después reproducir el código RFID el desbloqueo de las puertas. Hay máquinas para copiar las tarjetas llave magnética.
Herramientas Lock-Picking miscelánea Además de la tensión de llaves y picos, un ingeniero social puede querer emplear algunas otras herramientas, como empujón cuchillos, golpear las teclas, y los suplementos, candado para tener acceso físico. Algunas de estas herramientas, cuando lo domine, puede hacer el trabajo de acceso físico sin esfuerzo.
Empujón cuchillos El empujón cuchilla, mostrado en la Figura 7-6 , es reconocida como la forma más rápida de acceder a las puertas de las oficinas o cualquier puerta con un pomo de bloqueo, tales como salas de servidores o las puertas de las oficinas. Básicamente, este cuchillo puede deslizarse en una posición donde se puede liberar el pestillo sin dañar la puerta.
Figura 7-6: un típico empujón cuchillo.
Bump Keys Bump claves han existido durante siglos, pero han venido recibiendo un montón de anuncio en las noticias porque se han utilizado en los crímenes. Bump claves están diseñados especialmente claves que permiten al usuario "golpee" la llave en la cerradura con una fuerza ligera que cuando se hace bien, pone todos los pasadores de alineación correcta y permite que el tapón se ha convertido sin dañar la cerradura. La técnica básica es que usted ponga la llave dentro de la cerradura y tire de él uno o dos muescas; luego se puso a la luz la tensión de la llave y use un destornillador u otro objeto pequeño "golpee" la llave en la cerradura con poca fuerza. Esta acción fuerza a
los pasadores en la posición correcta y, a continuación, permite girar el tapón. La figura 7-7 muestra un golpe clave.
Figura 7-7: una protuberancia típica clave para una puerta.
Suplementos de candado Un suplemento es una pequeña pieza de metal delgada que se desliza en la base del candado y utilizada para liberar el mecanismo de bloqueo. La cala se coloco en la base del eje de bloqueo, separando el mecanismo de bloqueo del eje y desbloquear el candado. Esto se muestra en la Figura 7-8 .
Figura 7-8: Cómo funciona un suplemento.
La figura 7-9 muestra los suplementos de calidad profesional, pero también puede hacer un par de latas de aluminio. Algunas historias recientes ( www.youtube.com/watch?v=7INIRLe7x0Y ) muestran cuán fácil es omitir un hotel u otra puerta con un candado. Este
vídeo muestra cómo un atacante puede unir una banda de goma alrededor de la cerradura
Y, usando la tensión natural de la banda elástica, obtenga la cadena a deslizar hacia la derecha. Además, el MIT ha distribuido gratuitamente una guía ( www.lysator.liu.se/mit-guide/MITLockGuide.pdf ) en abrir cerraduras, que es mucho más profundo que la breve introducción incluido en este capítulo.
Figura 7-9: suplementos hecho profesionalmente.
Quizás se esté preguntando si los bloqueos que son imposibles, o al menos difícil escoger, existe. El Bump prueba www.wholesalelocks.com/bump-proof-bilock-ult-360.html BiLock ( ) es un bloqueo. Sus dos cilindros hacen casi imposible golpear o recoger fácilmente. Uno de los problemas que he visto en mi carrera no es la opción de bloqueo sino la seguridad apoyar el bloqueo. Muy a menudo, una empresa deberá adquirir un bloqueo de servicio pesado que requiere la biometría y la clave de acceso hasta llegar a la sala de servidores, pero justo al lado de la puerta es un pequeño y único vidrios cristal de la ventana. ¿Quién necesita un bloqueo escoger entonces? Un ladrón se romperá el cristal y acceder sin mucho esfuerzo. La moraleja de la historia es que un bloqueo solo no hará que usted seguro. La seguridad es una cuestión de mentalidad, no una simple pieza de hardware.
No todo ingeniero social debe ser un experto cerrajero, pero tener algunos conocimientos básicos sobre cómo
funcionan los bloqueos y un poco de experiencia forzar cerraduras pueden hacer la diferencia entre el éxito y el fracaso de la ingeniería social. Esta discusión solo arañado la superficie del tema de la recolección de bloqueo
Herramientas de un ingeniero social puede utilizar. Uno de los otros conjuntos de herramientas que tiene un valor incalculable para un ingeniero social es dispositivos de grabación, como se discute en la siguiente sección.
Cámaras y dispositivos de grabación. Cámaras y dispositivos de grabación parece tan "peeping tom-ish" que muchas veces se plantea la pregunta, "¿Por qué? ¿Por qué el uso de cámaras ocultas y dispositivos de grabación encubierta en una SE gig?" Buena pregunta. Tiene una simple respuesta: dos piezas para la prueba y protección. Analicemos el concepto de prueba . Como ya se mencionó, una auditoría de ingeniería social es donde se están probando gente. Se está tratando de ayudar a una empresa parche la infraestructura humana para ser más seguro. Lamentablemente, estos mismos principios se utilizan cuando los ingenieros sociales malintencionados hacer sus obras demasiado. Muchas personas son reacias a admitir que puede ser engañado, a menos que vea la prueba o uno de sus colegas eran engañados. La vergüenza de ser estafados a través de un simple ataque de ingeniería social o el temor a repercusiones empleador puede causar que la gente diga que eso nunca sucedió. Un dispositivo de grabación puede aportar dicha prueba, pero también puede ser utilizado para entrenar tanto usted como auditor y su cliente sobre qué esperar. Nunca debe utilizar estos dispositivos con la intención de obtener un empleado en problemas o avergonzar a él o ella. Sin embargo, la información que usted obtiene de estos dispositivos proporciona una gran herramienta de aprendizaje después de mostrar el personal que cayeron por el pretexto del ingeniero social y cómo. Tener pruebas de una exitosa hack puede ir un largo camino hacia la educación de la empresa y de su personal sobre cómo deben reaccionar ante los intentos de ingeniería social maliciosa-en otras palabras, la forma de notificación y, a continuación, o bien evitar o mitigar estos ataques.
La segunda razón para utilizar los dispositivos de grabación en una SE gig es para protección, principalmente para el profesional los ingenieros sociales. ¿Por qué? Viendo cada microexpression, facial, gestos y pequeños detalles que se pueden utilizar más adelante es imposible. La captura de esta información en la cámara le da algo a analizar para que no consiga todos los detalles necesarios para el ataque. Se puede proporcionar protección en que haya un registro de los eventos para demostrar de lo que era y no estaba hecho, sino también en el sentido de que no dejar todo a la memoria de la situación. También es una buena herramienta educativa para el análisis de error o éxito se trata. Este principio se utiliza en la aplicación de la ley. La policía y los agentes federales grabar sus paradas de tráfico, entrevistas e interrogatorios para la protección, la educación y la prueba para ser empleado en el tribunal. Estos principios también se aplican para la grabación de audio. Capturar una llamada telefónica o una conversación en un dispositivo de grabación sirve todos los mismos fines como los mencionados anteriormente para el vídeo. Un punto importante a mencionar es que el registro de personas sin su
consentimiento es ilegal en muchas zonas del mundo. Asegúrese de que su capacidad para usar dispositivos de grabación es parte del contrato de ingeniería social que han firmado con la empresa.
Dispositivos de grabación de audio vienen en todas las formas y tamaños. Soy dueño de una pequeña grabadora de voz que es una pluma de trabajo real. Este dispositivo se sienta bien en mi bolsillo frontal y los registros de sonido con claridad hasta 20 pies de distancia. Con 2 GB de almacenamiento interno, puedo grabar fácilmente un par de horas de conversación sin preocuparse y analizarlo posteriormente.
Cámaras Hoy en día usted puede encontrar cámaras la forma de botones; las plumas; ocultos en las puntas de las plumas; dentro de los relojes, ositos, cabezas de tornillo, falsas alarmas de humo; y prácticamente cualquier otro dispositivo que pueda imaginar. Localizar una cámara como la que se muestra en la Figura 7-10 no es demasiado dura.
Figura 7-10: La cámara está oculta en el nudo de la corbata.
Sí, créalo o no, esta vinculación se esconde una cámara de color completo que se ejecuta en una batería de 12 voltios y se conecta a un dispositivo de grabación de mini. Vistiendo este empate en una auditoría ingeniería social garantiza la captura de todo dentro de un ángulo de 70 grados. Utilizando un dispositivo de grabación como esto da una ventaja. El ingeniero social puede centrarse en el pretexto o la obtención de que él o ella practica de antemano sin tener que preocuparse por tratar de recordar todos los detalles. Una historia me gusta contar es cómo utilizar un dispositivo de grabación de audio en una auditoría donde me estaba probando un parque temático que vende boletos en línea. Esta compañía opera un pequeño billete ventana con una mujer detrás de él la dotación de un ordenador con un sistema operativo Windows. El pretexto fue que compré las entradas online en el hotel, pero no podía imprimirlas. Para ayudar me imprimió a PDF y enviar por correo
electrónico el documento a mí mismo. A continuación, utilicé una línea similar a esta: "Sé que esto es una petición extraña, pero mi hija vio su anuncio en un restaurante. Regresamos al hotel y compró los billetes en línea con el código de descuento y entonces me di cuenta de que no podía imprimirlas. El hotel impresora
Fue en el Fritz y yo no quería perder las entradas. Así que he impreso en un PDF y lo envió a mi cuenta de correo electrónico. Yo podría simplemente inicie sesión o inicia sesión en mi correo electrónico para obtener el documento? " Por supuesto, los "niños" estaban esperando en el banquillo y como papá no quería defraudar. Lo suficientemente seguro como el empleado hizo clic en el PDF, ella no se presentó con nuestras entradas, pero un fragmento de código malicioso que fue escrita para darme el acceso a su ordenador e iniciar autocollecting datos. La grabación de la conversación, el método utilizado, y el corazón de las cadenas que tiraban contribuyó a educar a la sociedad por lo que este ataque no puede ser repetido, que le costó miles de dólares o más. Un dispositivo que está disponible utiliza un "pagar-como-usted-go" tarjeta celular para enviar contenido de audio a través de una señal celular para cualquier número programado. O el ingeniero social puede llamar y escuchar lo que está sucediendo en cualquier momento. Este dispositivo puede guardar el ingeniero social decenas de horas en la obtención de las contraseñas o información personal que se puede utilizar en un ataque de ingeniería social. Uno puede pasar literalmente decenas de horas (y yo podría escribir docenas de páginas) hablando sobre todas las pulcras y cámaras de frío. Las figuras 7-11 y 7-12 muestran unas cuantas fotos de un conocido proveedor de aplicación de la ley de "equipo www.spyassociates.com spy" ( ). Todas estas imágenes son cámaras ocultas o dispositivos de grabación de audio, creer o no creer. Puede utilizar cada uno de estos dispositivos para grabar secretamente un objetivo para su inspección posterior.
Figura 7-11: todos estos dispositivos capturar audio y vídeo en color de una cámara oculta, excepto para la pluma, que es una grabadora de audio.
Figura 7-12: Estos dispositivos también capturar audio y vídeo desde cámaras ocultas.
Utilizando las herramientas de un Ingeniero social La sección anterior describe algunos de los distintos tipos de dispositivos de grabación, pero la cuestión sigue siendo cómo usarlos. Increíble como parece, mediante el uso de cámaras o dispositivos de grabación sigue los mismos principios que cualquier otra herramienta del ingeniero social, como pretexting o evocación. La práctica es esencial. Si no determinar la colocación adecuada para un cuerpo cámara o dispositivo de grabación de audio, es posible que acabe capturando vídeo del techo o el sonido de una voz apagada. Configurando el atuendo apropiado y el engranaje puede llevar y encontrar la ubicación adecuada para la cámara o dispositivo de audio es una buena idea. Intente sentarse, pararse o caminar y ver cómo estos movimientos afectarán a la calidad de sonido y vídeo. Desde un punto de vista profesional ingeniero social debo destacar una vez más la gravedad de conseguir el contrato para delinear su capacidad para grabar. Hacerlo sin un contrato puede ser una pesadilla legal. Comprobación de las leyes locales para asegurarse de que usted no puede meterse en problemas por el uso de estos dispositivos también es una buena idea. Nunca lo haría un ingeniero social utilizan estos dispositivos para registrar personas en situaciones embarazosas o capturar a personas en circunstancias personales.
El debate sobre este tema puede continuar indefinidamente, pero esperemos que esta breve descripción de las herramientas que están disponibles y cómo utilizarlas puede abrir las opciones hacia fuera allí a los ingenieros sociales.
En la próxima sección voy a dar algunos ejemplos del uso de algunas herramientas que pueden ser muy útiles para un ingeniero social. Utilizando un rastreador de GPS Los ingenieros sociales a menudo desean vía metas antes o después de salir
de la oficina. Qué detiene el destino pone en el camino hacia la oficina puede decir mucho acerca de él. Recopilación y análisis de esta información puede ayudar a desarrollar un buen pretexto o buenas preguntas para obtener la respuesta correcta en el destino. Conocer los tiempos de inicio y de finalización para su día también puede ser valioso para el equipo rojo ataques físicos, donde el objetivo del equipo es romper realmente en
Y recuperar los activos valiosos para mostrar la empresa sus deficiencias físicas. Puede realizar un seguimiento de las personas de muchas maneras diferentes, pero una manera es utilizar un dispositivo diseñado para ayudar a realizar el seguimiento de un objetivo. Uno de estos dispositivos es un rastreador de GPS; por ejemplo, la notable SpyHawk SuperTrak mundo Super TrackStick GPS Logger de datos USB disponible desde www.spyassociates.com . Un tipo de muchos, estos dispositivos pueden variar desde $200-600. SuperTrak SpyHawk palos magnéticamente a un vehículo y puede almacenar los datos de días en el destino. Las siguientes secciones proporcionan un tutorial de instalación para el uso de este pequeño dispositivo.
La SpyHawk SuperTrak TrackStick GPS Instalación del software necesario para hacer funcionar el dispositivo es indoloro. Simplemente haga clic en el software que viene con el dispositivo y siguiendo los pasos en pantalla instalará todo el software necesario. Se instala sin problemas y después de la instalación es igual de sencilla. El TrackStick pantalla, que se muestra en la Figura 7-13 , es muy intuitivo y fácil de usar, fácil de configurar.
Figura 7-13: TrackStick Manager emplea una intuitiva interfaz fácil de utilizar.
Como puede ver, proporciona opciones para escoger a veces de registro, zonas horarias y más opciones de personalización. Utilizando el TrackStick SpyHawk La SpyHawk SuperTrak GPS Mundo Super TrackStick propio dispositivo es
ligero y fácil de usar y ocultar. Viene con un interruptor de encendido/apagado, pero tiene algunos bonitos tecnología. Cuando se siente el movimiento se enciende y comienza a
La tala de árboles. Cuando el movimiento se detiene durante un período de tiempo, se detiene el registro. Las instrucciones dicen para ocultar el dispositivo en un lugar con el potente Imanes contra el metal pero el dispositivo hacia arriba o hacia el plástico. Perder el dispositivo en su primera carrera es siempre una preocupación, por lo que encontrar un buen lugar seguro bajo el capó puede aliviar esas preocupaciones y ofrecen fácil acceso a la vista del cielo. Una vez que usted tiene acceso (interno o externo) para el destino del coche, encontrar un lugar seguro en una rueda bien, bajo el capó o en la parte trasera del coche por el tronco. Dondequiera que hay metal funcionará. Si usted tiene acceso interno, reventar el capó y ponerla en alguna parte del compartimiento del motor puede aliviar las preocupaciones sobre el descubrimiento y/o pérdida.
En mis primeras pruebas, encontré un lugar en el compartimiento del motor para colocar el dispositivo. Incluso a través de la chapa de la cubierta del dispositivo conectado perfectamente. Otra idea de colocación es esperar hasta que el destino del coche está desbloqueado y, a continuación, colóquelo en el maletero, debajo de la alfombra o por las luces traseras. En una nota lateral personales, cuando ejecuté esta prueba, el dispositivo alojado en cinco días recolectando datos, algunos de los cuales se puede ver en las figuras siguientes. Como se muestra en la Figura 7-14 , parece que el destino le gusta la velocidad.
Figura 7-14: El destino le gusta la velocidad.
Hora, Fecha, duración y sellos le ayudan a perfilar un movimiento del destino, como se muestra en la Figura 7-15 . Figura 7-15: Seguimiento de los movimientos del destino.
La figura 7-16 muestra los iconos en un mapa de Google Earth que muestra la velocidad, los tiempos, el tiempo se detuvo, y mucho más.
Figura 7-16: Dispositivo salida procesada en Google Earth.
Como se puede ver en la Figura 7-17 , el software crea bonitos mapas de toda la ruta. Figura 7-17: Mapa de la ruta del destino con SuperTrack.
A través de Google Earth o Google Maps puede obtener incluso close-ups (vea la Figura 7-18 ). Figura 7-18: exterminando a los viajes del destino.
Revisando los datos GPS Tracker La recogida de datos es un ingeniero social donde verá el mayor beneficio. Ser capaz de rastrear cada vez que el gerente general de la empresa objetivo parado para tomar café, cuál es su tienda favorita es y qué gimnasio asiste puede habilitar el ingeniero social para planear un atentado con la mayor tasa de éxito. Conocer las ubicaciones y detiene el atacante puede decir dónde él o ella tendrá las mejores oportunidades para la clonación de un monograma RFID o hacer una impresión de una clave. La ventaja es que usted puede obtener esta información sin necesidad de acechar la meta por ser el escalofriante chico de al lado. Las figuras siguientes muestran cómo estos detalles pueden dar al atacante la mano superior. Observe el detalle en la Figura 7-19 . Puede ver la velocidad llevó el destino y la hora y la fecha se detuvo. Si desea ver la ubicación con más detalle, haga clic en el enlace de Google Maps. Haga clic en el botón Exportar para exportar todo el conjunto de datos a un mapa de Google interactiva o mapa de Google Earth.
Figura 7-19: El conjunto de datos.
Después de abrir el conjunto de datos en Google Earth puedes ver los puntos se detuvo, la ruta que tomó desde y hacia su destino, y los tiempos se detuvo, como se muestra en la Figura 7-20 .
Figura 7-20: paradas en el camino.
Si desea ver toda su ruta, no es un problema sólo de exportar toda su ruta a uno de los muchos formatos, como se muestra en la Figura 7-21 .
Figura 7-21: exportar toda la ruta del destino.
La figura 7-22 muestra los datos exportados y aparecen en Google Maps. Esta breve sección no podría cubrir todas las herramientas disponibles para un Ingeniero social. Las claves para el éxito son la práctica y la investigación. Saber qué herramientas están disponibles para los ingenieros sociales pueden hacer o deshacer la auditoría. Que es sólo la mitad de la batalla, sin embargo, porque luego como profesional ingeniero social, debe practicar, practicar y practicar. Saber cómo utilizar correctamente las herramientas hará una gran diferencia.
En el marco de ingeniería social ubicado en Www.socialengineer.org , estaré revisando muchas herramientas que los ingenieros sociales pueden utilizar para mejorar su práctica. Herramientas físicas son sólo una parte de ser un ingeniero social exitoso aunque. Todas las herramientas de física de la Tierra están respaldados por la calidad y la recopilación de información exhaustiva como se discutió en el Capítulo 2. La siguiente sección describe algunas de las más increíbles herramientas para la recopilación de información en el mundo.
Figura 7-22: ruta del destino prestados en Google Maps.
Herramientas Information-Gathering online Como se ha comentado anteriormente, el acopio de información es un aspecto clave de la ingeniería social. No pasar suficiente tiempo en este punto solo puede y debe conducir al fracaso para el ingeniero social. Hoy en día existen muchas herramientas disponibles para el ingeniero social que puede ayudar a recopilar, catalogar y utilizar los datos que se recopilan. Estas herramientas pueden literalmente cambiar la manera en que un ingeniero social opiniones y usos de los datos. Los ingenieros sociales ya no están limitados a lo que pueden encontrar en búsquedas rutinarias; estas herramientas abre cada recurso en Internet.
Maltego
Recopilar y catalogar información es probablemente un punto débil para muchas personas. Lo que si existía una herramienta que permitió llevar a cabo docenas de
Búsquedas específicas para un dominio, dirección IP o incluso una persona? Lo que si le dio la ponderación de esos resultados, mostrando lo que es más probable que sean importantes o no? Lo que si esta herramienta tenía entonces una interfaz GUI que mostró todo en color-coded objetos que puede exportar y utilizar? Además de todo eso, ¿qué pasa si una versión libre de esta increíble herramienta estaba disponible? Introduzca Maltego. Maltego es el sueño de un ingeniero social útil. Esta increíble herramienta está hecha por los chicos de www.paterva.com Paterva ( ). Maltego tiene un Community Edition disponible para descarga gratuita desde su sitio web, que también se incluye en cada edición de BackTrack4. Si desea eliminar las limitaciones de la edición gratuita como el número de transformaciones puede ejecutar y guardar datos de gasto de alrededor de $600, obtendrá una licencia completa. La mejor manera de mostrar el poder de Maltego es contar una historia de una auditoría que yo estaba involucrado. Yo era el encargado de la auditoría de una pequeña empresa que había una pequeña presencia en la web. El objetivo era llegar al CEO pero estaba fuertemente custodiada, paranoico, y no utilizar la web mucho. Como propietario de una compañía de impresión fue todo acerca de su negocio y no utilizar la tecnología al máximo. Seguramente esta tarea iba a ser difícil. Me sacó de repente Maltego primero. Sólo se utiliza el dominio de la empresa y tirando hacia arriba todas las direcciones de correo electrónico vinculado con la información Whois del dominio propiamente dicho y me dio una buena base de información para iniciar la búsqueda. Luego me metí más para ver si el correo electrónico del gerente general que surgió fue utilizado en otros sitios o URL. Me pareció que había escrito un par de comentarios en un restaurante local y su dirección de correo electrónico vinculada públicamente. Él también lo usó en un comentario que hizo para un restaurante en un estado diferente. La lectura de su comentario totalmente reveló que había visitado ese restaurante cuando estaba visitando a su familia en ese estado, incluso nombrar a su hermano en el examen. Con unos pocos más búsquedas en Maltego I situado en sus padres y hermano en esa zona. Unos más búsquedas con el nombre de la familia y he encontrado unos cuantos enlaces que habla acerca del uso de otro mensaje de correo electrónico que había desde un negocio comenzó a hablar sobre un problema que había tenido con una iglesia local y su interruptor a uno nuevo. Más tarde, me encontré con un blog enlazar su página de Facebook con fotos de su familia después de que salieron de un juego de pelota donde juega su equipo favorito. Aquí está lo que pude encontrar en menos de dos horas de búsqueda utilizando Maltego:
Su comida favorita Su restaurante favorito Su kids' nombres y edades Que él es divorciado Los nombres de sus padres El nombre de su hermano Donde Él creció para arriba Su religión Su equipo deportivo favorito Lo veía como toda su familia.
Su pasado business Un día más tarde me envió un paquete al destino que contiene información acerca de una rifa para las empresas locales. La oferta fue que si gana él consigue una cena gratis en el restaurante enumeró como su favorito, y tres entradas gratis para un juego de los Yankees. Toda la empresa tiene que hacer es acceder a tener una breve reunión con un
Representante de ventas para hablar de una organización de caridad local. Si la empresa convino en esa reunión su nombre habría entrado en el sorteo para una oportunidad de ganar boletos de los Yankees. Mi pretexto el nombre fue "Joe" y me preparó un esquema para una llamada del director general. Mi objetivo era llegar a aceptar un PDF a partir de mí que esbozó lo que queremos y lo inscribió en el dibujo. Por el momento me llamó, Él debería haber recibido mi "enviado" el paquete y yo podría utilizar fácilmente la línea, "Sí, él está esperando mi llamada". Mientras que en el teléfono con "Joe", el Director General aceptó y abrió un correo electrónico con todos los detalles de la rifa, así como un archivo codificado maliciosamente, asegurar la entrega de la reverse shell, me da acceso a su red. Por supuesto, él no tiene nada en su pantalla y fue frustrada de que Adobe se bloqueaba. Le dije, "Yo siento que usted está teniendo problemas al abrir el archivo; incluiremos tu nombre en el sorteo y enviar alguna información adicional para ustedes el día de hoy." Pero antes de que el paquete entró en el correo y llegó me pidió un informe reunión para discutir cómo el destino estaba totalmente comprometido. La mayor parte de este éxito se debió a la utilización de una herramienta Maltego. Ayudó a recopilar, organizar y clasificar los datos para su mejor uso.
¿Cómo me ayuda Maltego triunfar en este concierto? Pensar de Maltego como una base de datos relacional de la información, encontrar vínculos entre bits de información en Internet (lo que se conoce como entidades dentro de la aplicación). Maltego también toma una gran parte del trabajo duro fuera de la minería información como direcciones de correo electrónico, sitios web, direcciones IP e información de dominio. Por ejemplo, puede buscar cualquier dirección de correo electrónico dentro de un dominio o dominios de destino automáticamente con unos pocos clics. Simplemente añadiendo la transformación "Correo electrónico" en la pantalla y, a continuación, haga clic en la casilla de correo electrónico y escribiendo la quiero buscar, me dieron una vista como lo que se ve en la Figura 7-23 . Figura 7-23: representación de la información usted puede recoger desde Maltego.
¿Por qué utilizar Maltego? Maltego automatiza gran parte de la recopilación de información y de datos grandes
Correlación para el usuario, ahorrando horas de Googlear para obtener información y determinar cómo toda esa información se correlaciona. Encontrar estas relaciones de datos es donde el verdadero poder de Maltego entra en juego. A pesar de que la minería es útil, descubrir las relaciones entre la información es lo que ayudará al ingeniero social. En Www.social-engineer.org/se-resources/ , he publicado un par de videos explicando cómo utilizar Maltego para sacar el máximo partido de ella. En la anterior historia Maltego contribuyó en gran medida al éxito del ejercicio, pero el compromiso entró con otra herramienta sorprendente.
SET: Ingeniero Social Toolkit Los ingenieros sociales pasan mucho de su tiempo a perfeccionar el aspecto humano de sus habilidades, pero muchos vectores de ataque exigen la capacidad de producir correos electrónicos o archivos PDF incrustados con código malicioso. Ambas cosas pueden hacerse manualmente usando muchas de las herramientas que existen en BackTrack, pero cuando estaba iniciando el sitio web Www.social-engineer.org yo estaba hablando con un buen amigo mío, Dave Kennedy. Dave es el creador de una herramienta muy popular llamado FastTrack que automatiza algunos de los ataques más comunes utilizados en una prueba de penetración utilizando los scripts de Python y una interfaz web. Le dije a Dave que pensé que sería un buen idea para desarrollar algo así como FastTrack, pero sólo para los ingenieros sociales-una herramienta que permitiera un ingeniero social para crear archivos PDF, correos electrónicos, sitios web y mucho más con unos pocos clics y, a continuación, centrarse más en la parte "social" de la ingeniería social.
Dave lo pensó y decidió que podría crear unos sencillos scripts de Python que permitiría que el ingeniero social para crear documentos PDF y enviar correos electrónicos con código malicioso incrustado en ellos. Este fue el nacimiento del ingeniero social Toolkit (SET). En el momento de redactar el presente informe, se han descargado más de 1,5 millones de veces, y había convertido rápidamente en el estándar toolkit para auditorías de ingeniería social. Esta sección le guiará a través de algunos de los principales puntos de SET y cómo emplearlos.
Instalación La instalación es simple. Todo lo que necesitas para tener instalados son Python y Metasploit Framework. Ambos están instalados en el BackTrack distribución y no hay que preocuparse por la instalación de BackTrack 4 incluso el conjunto herramienta está instalada. En caso de que no esté o que están empezando desde cero, la instalación es simple. Navegue hasta el directorio que desea y ejecutar este comando en una ventana de consola: Svn co Http://svn.secmaniac.com/social_engineering_toolkit set/
Después de ejecutar este comando, tendrá un directorio llamado set que contendrá todas las herramientas.
Ejecutar SET Ejecutar SET, nuevamente, es un proceso fácil. Simplemente escribiendo ./set mientras en el directorio inicia el menú inicial. Esto le muestra el menú definir exactamente qué aspecto tiene. Un amplio,
Tutorial en profundidad acerca de cada opción de menú está disponible en www.socialengineer.org/framework/Computer_Based_Social_Engineering_Tools:_Social_Engineer_Toolkit_%28SET%29 , pero en las siguientes secciones se explican dos de los aspectos más ampliamente utilizado de
SET. La primera es la discusión "spear phishing" ataque, y después de que el sitio web es el debate sobre la clonación de ataque. Spear phishing con SET Phishing es un término acuñado para describir cómo estafadores malicioso "lanzar una amplia red" mediante correos electrónicos dirigidos a tratar de atraer a la gente con sitios web, abrir archivos maliciosos, o revelar información que puede ser usada para posteriores ataques. Ser capaz de detectar y mitigar estos ataques es esencial para la supervivencia en el mundo de Internet hoy en día. Conjunto permite que el auditor para probar sus clientes mediante el desarrollo de correos electrónicos dirigidos y, a continuación, registrar cuántos empleados caen por estos ataques. Esta información puede ser utilizada en la capacitación para ayudar a los empleados a ver cómo detectar y evitar estas trampas. Para realizar un ataque de phishing en conjunto, elija la opción 1. Tras pulsar ese número se presentan algunas opciones:
1. Realizar un ataque de correo electrónico masivo 2. Crear un paquete de FileFormat 3. Crear una plantilla Social-Engineering La primera opción es donde realmente inicia un e-mail spear phishing basado en ataque. La segunda opción es donde puede crear un PDF malicioso u otro archivo para enviar sus correos electrónicos. Por último, la opción 3 es donde usted puede crear plantillas para utilizarlas más adelante. Lanzar un ataque en conjunto es tan sencillo como elegir las opciones adecuadas en los menús, a continuación, haga clic en Iniciar. Por ejemplo, si quería lanzar un ataque por correo electrónico que se envían a la víctima un PDF malicioso disfrazado como un informe técnico, elegiría la opción 1, realizar un ataque de correo electrónico masivo. A continuación, me gustaría elegir un vector de ataque (opción 6) que estaba presente en muchas de las versiones de Adobe Acrobat Reader: Adobe util.printf() Desbordamiento de búfer .
Las próximas elecciones configurar la parte técnica del ataque. Usando Metasploit para recibir la reverse shell, o conexión de vuelta desde el ordenador de la víctima, y el puerto para volver a encenderse para evitar identificaciones u otros sistemas, elija la opción 2, Windows Meterpreter reverse_TCP.
Seleccione el puerto 443 para el tráfico parece como si es el tráfico SSL. El conjunto hace que el PDF malicioso y configura el oyente.
Después de hacerlo, le preguntará si desea cambiar el nombre del PDF para algo más tortuoso como TechnicalSupport.pdf y, a continuación, le pide que rellene la información de correo electrónico tanto para enviar como para recibir. Por último, envía un correo electrónico de aspecto profesional que intenta engañar al usuario para que abra el archivo PDF adjunto. Una muestra de lo que la víctima recibe se muestra en la Figura 7-24 .
Figura 7-24: Una pura con un simple correo electrónico adjunto.
Después de que el e-mail es enviado, configura la escucha y espera a que el target para abrir el archivo. Una vez que la meta haga clic en el PDF, el escucha responde por el manejo de la entrada de código malicioso y dando al atacante acceso a el equipo de la víctima. Sorprendentemente (o tal vez no, dependiendo de tu perspectiva), todo esto se hizo en unas seis o siete clics de ratón, y deja el auditor con la libertad para concentrarse en el aspecto de ingeniería social real de estos ataques.
Este es un ataque devastador porque aprovecha un pedazo del lado del cliente de software, y muchas veces no hay ninguna indicación en pantalla que nada malo sucedió. Este es sólo uno de los muchos ataques que pueden ser lanzados usando SET.
Vector de ataque a la Web Conjunto también permite al auditor para clonar cualquier sitio Web y host local. El poder de este tipo de ataque es que permite que el ingeniero social para engañar a los usuarios para que visiten el sitio bajo la pretensión de ser un desarrollador de hacer cambios, o incluso utilizando el truco de añadir o eliminar una letra de la URL pero apuntando a la gente al nuevo sitio que se clona.
Una vez en el sitio clonado, muchas partes diferentes de este ataque puede ser lanzado a la recolección de información, recolección de credenciales y la explotación son sólo unos pocos. Para ejecutar este ataque en conjunto tendría que elegir la opción 2, el sitio Web de los vectores de ataque, desde el menú principal. Al elegir la opción 2, se presentan algunas opciones: 1. El método de ataque de Applet de Java 2. El método de aprovechamiento de vulnerabilidades del navegador de Metasploit 3. Método de ataque de cosechadora de credenciales 4. Método de ataque Tabnabbing 5. Hombre a la izquierda en el Medio Método de ataque 6. Volver al menú anterior Un vector de ataque particularmente maligno es la opción 1, un applet Java ataque. Básicamente, el applet de Java ataque presenta al usuario con una advertencia de seguridad de Java que dice que el sitio web ha sido firmado por la Empresa ABC y pide al usuario que
apruebe la advertencia. Para realizar este ataque eligió la opción 1, y luego la opción 2, Site Cloner. Al momento de elegir Sitio Cloner, se le pedirá que la página web que desee Clon. Aquí, usted puede escoger cualquier cosa que quieras, el sitio web del cliente, un proveedor, o un sitio web del gobierno de la elección es tuya. Como puede imaginar, sin embargo, elegir un sitio que tenga sentido para el objetivo es esencial.
En este ejercicio, imagine que clonan Gmail. Usted será presentado con la siguiente en la pantalla: SET es compatible con HTTP y HTTPS Ejemplo: http://www.thisisafakesite.com Introduzca la dirección url para clonar: http://www.gmail.com La clonación de la página web: http://www.gmail.com Esto puede tardar un poco...
Inyección de ataque de Applet de Java en el sitio web recién clonados.
Nombre completo de ofuscación. Nombre: Payload DAUPMWIAHh7v.exe. Applet de Java malicioso Web preparado para la implementación Una vez que usted haya hecho esto, establezca le preguntará qué tipo de conexión que desea crear entre usted y la víctima. Para utilizar una tecnología que se analizan en este libro, elija el llamado shell Meterpreter inverso de Metasploit.
Juego te da la opción de codificar el archivo payload con diferentes codificadores. Esto es para ayudarle a evitar ser atrapado por los sistemas antivirus. A continuación, establezca lanza su propio servidor web incorporado, aloja el sitio y configura un oyente para atrapar a su víctima, navegar por la web.
Ahora es hasta el ingeniero social para crear un correo electrónico o una llamada telefónica para dibujar el destino de la URL. Al final, el usuario podría ver lo que se muestra en la Figura 7-25 . El resultado final es que la víctima se presenta con un applet Java indicando el sitio ha sido firmado por Microsoft y que el usuario debe permitir el acceso a la certificación de seguridad para que se ejecute con el fin de acceder al sitio.
Tan pronto como el usuario permite la certificación de seguridad, el atacante se presenta con un mensaje para su equipo. Figura 7-25: que no podría confiar en un applet firmado digitalmente por Microsoft?
Otras características del juego Fue desarrollado por los ingenieros sociales con los ingenieros sociales en la mente, para el conjunto de herramientas que ofrece al usuario está basado en torno a los ataques comunes necesarios para aquellos en el negocio de la auditoría. Conjunto está en constante crecimiento y expansión. En los últimos meses, por ejemplo, ha llegado a ser capaz de manipular otros ataques web además de la clonación y spear phishing; también alberga un generador de material infeccioso. Un generador de material infeccioso es donde el usuario puede crear un DVD, CD o USB
Llave codificada con un archivo malicioso que puede omitirse o izquierda en el edificio de la oficina de destino. Cuando se inserta en un ordenador ejecutará esa carga maliciosa y provocar que el equipo de la víctima para ser comprometida. También puede crear un paquete sencillo y adecuado para el oyente. Si el ingeniero social sólo quiere tener un EXE que es una shell inversa que se vuelve a conectar a sus servidores, él puede hacer esto en una llave USB para utilizar en una auditoría. Si él se encuentra en la parte delantera de la máquina a la que él quiere acceso remoto, se puede poner en la llave USB y arrastrar el archivo payload en el ordenador y, a continuación, haga clic en ella. Esto le dará una rápida conexión de vuelta a sus máquinas. Un vector de ataque más reciente es el vector de ataque Teensy HID. Teensy dispositivos programables son pequeñas placas de circuito que pueden incrustarse en cosas como teclados, ratones u otros dispositivos electrónicos que obtenga enchufado a los equipos.
Conjunto produce la programación necesaria para indicar estos pequeños consejos qué hacer cuando están enchufados; comandos como dar marcha atrás conchas o configurar los puertos de escucha son comunes.
Una de las características más recientes de SET es una interfaz web para la herramienta. Esto significa que un servidor web se iniciará automáticamente para alojar el conjunto en una página web para facilitar el uso. La figura 7-26 muestra lo que esta interfaz web similar. Figura 7-26: El nuevo interfaz web del ingeniero social Toolkit.
SET es una poderosa herramienta para ayudar a un ingeniero social
auditor pruebe las debilidades que normalmente existen en una empresa. La herramienta developer está siempre abierta a sugerencias y ayuda en la creación de nuevas piezas de la herramienta para seguir creciendo hasta convertirse en un conjunto de herramientas más populares. Nuevamente, Www.social-engineer.org tiene una explicación completa de cada opción de menú para revisar si
Desea profundizar en esta increíble herramienta. Continuar para verificar tanto Www.social-engineer.org www.secmaniac.com actualizaciones para el Kit de herramientas de ingeniería social. Herramientas Telephone-Based Una de las herramientas más antiguas en el libro para los ingenieros sociales es el teléfono. Hoy en día, con teléfonos celulares, VoIP y servidores telefónicos caseros, las opciones de cómo un ingeniero social puede utilizar el teléfono han crecido considerablemente. Porque la gente está inundada de llamadas de telemercadeo, ventas tonos y anuncios, un ingeniero social necesita ser capacitado para utilizar el teléfono con éxito en una auditoría. A pesar de estas limitaciones, utilizando el teléfono como una herramienta de ingeniería social puede conducir al compromiso total de una empresa en un periodo muy corto de tiempo. En una época en la que todo el mundo tiene un teléfono celular y las personas llevan a cabo conversaciones profundas y personales en el autobús, el metro, o en cualquier lugar público, el teléfono puede utilizarse de muchas maneras. Escuchas o llamar a un destino en su teléfono móvil permite vectores adicionales que no estaban disponibles en días pasados. Con el aumento en el número de teléfonos inteligentes y computadoras como teléfonos en el mercado más y más personas están almacenar contraseñas, datos personales e información privada en sus teléfonos. Esto abre la posibilidad de que el ingeniero social para poder acceder al destino y sus datos en muchas situaciones diferentes Asimismo, estar conectado 24/7 hace a la gente más dispuesta a dar información rápidamente si el llamador pasa un cierto conjunto de "criterios" que lo hace creíble. Por ejemplo, si el ID de la llamada en el teléfono celular indica que la persona está llamando desde la sede corporativa, muchas personas podrían dar más información sin ninguna verificación. Tanto el iPhone y Android teléfonos inteligentes tienen aplicaciones que pueden usarse para falsificar su número de ID de llamada a cualquier número que desee. Aplicaciones como SpoofApp ( www.spoofapp.com ) permiten que el ingeniero social para hacer llamadas que lucen como si se originaran desde cualquier lugar en la tierra a un costo relativamente bajo por llamada. Todo esto va a construir la credibilidad de su pretexto. Usar el teléfono para la ingeniería social puede desglosarse en dos escenarios diferentes: la tecnología detrás de ella y planear lo que usted dice.
Falsificación de caller ID Caller ID (identificador de llamadas) se ha convertido en un lugar común la tecnología en uso residencial y de negocios. Especialmente ahora con teléfonos celulares sustituyendo muchas de las líneas telefónicas terrestres gente, caller ID es parte de la vida diaria. Conscientes de este hecho y cómo usar esto para su ventaja es un
imperativo para el éxito de un ingeniero social. Caller ID spoofing básicamente es cambiar la información que aparece en la pantalla de identificación de llamada del destino. En otras palabras, aunque se está colocando la llamada desde un número, un número diferente aparece en el ID de llamada del destino. Una manera de aprovechar esta información es para falsificar el número que se encuentra en un contenedor de un vendedor de buceo utilizados por su destino. Si el ingeniero social considera
Que utilizan tecnología ABC de apoyo informático, el ingeniero social puede encontrar su número y falsifiquen que cuando se realiza una llamada para establecer una cita por la tarde. Mediante falsificación de caller ID, puede "originarios" llamadas desde los siguientes lugares: Una oficina remota Dentro de la oficina Una organización socio Una empresa de utilidad o servicio (teléfono, agua, Internet, exterminador, etc.) Un superior Una compañía de entrega Entonces, ¿cómo se puede falsificar? En las secciones siguientes se describen algunos de los métodos y equipos disponibles un ingeniero social puede utilizar para falsificar los números. SpoofCard Uno de los métodos más populares de caller ID spoofing es mediante un www.spoofcard.com/ SpoofCard ( ). Utilizando una de estas tarjetas, llame al número 800 que le ha dado en la tarjeta, introduzca su PIN, el número que desee el caller ID para mostrar y, a continuación, el número al que desea llamar.
Algunas de las nuevas características de la SpoofCard le ofrecen la posibilidad de grabar la conversación telefónica y máscara y su voz para ser macho o hembra. Estas características maximizan la capacidad de ocultar quién está llamando y engañar al destino en divulgar información el ingeniero social busca. En el lado positivo, SpoofCard es fácil de usar, no necesita ningún hardware adicional o software distinto de su teléfono, y se ha probado el servicio con miles de clientes. Lo único realmente negativo para SpoofCard es el costo de la compra.
SpoofApp Con tantas personas que utilizan los teléfonos inteligentes como el iPhone, Android, o Blackberry, ha habido una afluencia de aplicaciones creadas para ayudar en la falsificación de caller ID. Utiliza SpoofApp SpoofCards (véase la sección anterior), pero los paquetes de características en un paquete en su teléfono celular. En lugar de tener que llamar a un número gratuito, simplemente introduce el número al que desea llamar en la aplicación y, a continuación, escriba el número que desee mostrar y SpoofApp le conecta con el objetivo de mostrar la información solicitada a la meta. Todo esto es tan sencillo como pulsar un botón.
Asterisco Si tiene un equipo de repuesto y un servicio VoIP también puede usar un
asterisco para falsificar Server ID de llamada. Puede encontrar más información sobre este método en www.socialengineer.org/wiki/archives/CallerIDspoofing/CallerIDSpoofingWithAsterisk.html . Un asterisco servidor es muy similar a cómo funciona SpoofCard, con la excepción del servidor utilizado para falsificar la ID. En este caso, el propio servidor. Esto es interesante porque permite más
Libertad y no hay temor de ser cortada o minutos corriendo. Los aspectos positivos de asterisco son que es gratis, es fácil de utilizar y flexible después de la instalación, y que solo el control. Los contras son que un equipo adicional o VM es necesaria, es necesario tener conocimientos de Linux y necesita un proveedor de servicios de VoIP. Gran parte de esta opción es que toda la información acerca de la persona que llama y la persona llamada reside con el ingeniero social. Datos de cuenta y personales no están en manos de un tercero.
Mediante secuencias de comandos El teléfono es una herramienta favorita de la ingeniería social. Ofrece anonimato, así como la posibilidad de practicar en numerosos objetivos cambiando sólo una ligera partes del pretexto. Uno de los aspectos del uso del teléfono en la ingeniería social que debe considerar es el uso de scripts. Las secuencias de comandos pueden ser una parte esencial para garantizar que todos los elementos necesarios están cubiertos y tocado; sin embargo, un script no debe ser una palabra por palabra intervención. Nada irrita más que la meta que se presenta con una persona que parece que está leyendo un guión.
Después de escribir un script que debe practicar una y otra vez para que suene real, genuino y creíble, Aquí es donde sus sesiones de recopilación de información será fundamental. La mejor la información que el ingeniero social reúne la más clara será la secuencia de comandos. Me parece útil leer algunos hechos sobre las aficiones e intereses del destino, así que puede utilizar para crear una relación de comunicación. Una vez que tienes toda la información desplegada puede ser útil para trazar un plan de ataque. En el caso examinado previamente el CEO de la compañía de impresión-tuve que desarrollar un esquema que me permita utilizar las piezas clave de mi tono, puntos altos quería golpear, así como notas a mí mismo como, "hablar claramente", "No te olvides de empujar la caridad", "lento", y así sucesivamente, que me mantuvo concentrado durante la llamada.
Utilizando un script o un esquema versus un manuscrito escrito por completo te mantendrá fluido y natural y permitir la libertad creativa cuando se presentan con cosas que no plan. El teléfono sigue siendo una herramienta letal para el ingeniero social y cuando se utiliza con los principios mencionados hasta ahora en este libro, puede llevar un ingeniero social hacia el camino del éxito.
Contraseña Profilers Otro conjunto de herramientas que le ayudan a perfil hay que mencionar las metas y las contraseñas se pueden utilizar. Después de tener toda la información sobre un destino puede recopilar, el siguiente paso es desarrollar un perfil. Un perfil es donde puedes planear unos
vectores de ataque que va a trabajar y también donde puede comenzar a construir una lista de posibles contraseñas para probar en los ataques de fuerza bruta. Desde una perspectiva útil, tener una lista de contraseñas posibles puede ayudar a agilizar un hack si se presentan con esa opción. Esta sección cubre un par profilers que están disponibles.
Herramientas de generación de perfiles de contraseña puede tardar horas o incluso días fuera del trabajo que usted necesita hacer. Cada año el número de personas caen víctimas de ataques simples aumenta, a pesar de las muchas advertencias que se hayan expedido. El número de personas que lista todas las clases de información sobre sí mismos, sus familias y sus vidas en la Internet es increíble. Combinando un perfil construido a partir de su uso de los medios sociales, lo que se encuentra en otros lugares en la web, y utilizando las herramientas examinada posteriormente, un ingeniero social puede esbozar una persona toda la vida. Una de las razones por las que esto funciona tan bien es la forma en que muchas personas eligen a sus contraseñas. Se ha demostrado que muchas personas utilizan la misma contraseña una y otra vez. Lo peor es que muchas personas eligen contraseñas que pueden ser fácilmente adivinada con poca o ninguna habilidad. Recientemente, BitDefender, una empresa de seguridad en Internet, realizaron un estudio que demostró este hecho. BitDefender analiza el uso de contraseñas de más de 250.000 usuarios. Los resultados fueron sorprendentes: el 75% de las 250,000 utiliza las mismas contraseñas para correo electrónico así como las cuentas de todos los medios de comunicación social. Esto debe ser especialmente aterrador considerando la reciente historia de cómo 171 millones de usuarios de Facebook ha liberado su información personal en un torrente. La historia completa se puede encontrar en Www.securityweek.com/study-reveals-75-percent-individuals-use-samepassword-social-networking-and-email . En 2009, un hacker por el apodo de Tonu realiza un poco de investigación muy interesante. Sin intención maliciosa obtuvo recientemente bajó la dirección URL de un sitio de medios sociales populares. Ha suplantado la página, luego de un breve periodo de tiempo, se registran los intentos de personas intentando entrar.
Puede
ver
los
resultados
en
www.sociales-
Engineer.org/wiki/archives/BlogPosts/MenAndWomenPasswords.html . Algunos de estos datos se choque incluso al más exigente de los profesionales de la seguridad. De los 734.000 personas, 30.000 usa su primer nombre como contraseña y casi 14.500 utiliza su apellido. Aunque esas cifras son aterradoras que se encontró el siguiente fue soplar de la mente-la cima ocho contraseñas más utilizadas se describen en la siguiente tabla.
Contraseñ a Género 123456 M Contrase ña M 12345 M 1234 M 123 M 123456789 M
Número de usuarios 17601 4545 3480 2911 2492 2225
123456 Qwerty
F M
1885 1883
17,601 hombres utiliza la contraseña 123456? Estadísticas aterradoras. Si esto no es suficiente, Tonu chocante publicado estadísticas que más del 66% de los usuarios que utilizan la lista de contraseñas que eran seis a ocho caracteres. Con la información que la mayoría de las personas tienen contraseñas simples, utilizando un
Popular herramienta de falsificación de contraseñas, como Caín y Abel se muestra en la Figura 7-27 , para romper una contraseña sencilla no es irrazonable para un ingeniero social. Usted notará que el tiempo restante caja dice 3.03909 días. Para la mayoría de los hackers, tres días es poco tiempo para esperar para darse un acceso claro a los servidores. Realmente es de tres días que hay que esperar mucho para encontrar la contraseña de administrador?
Para hacer esta información realmente duele, mire la Figura 7-28 , que muestra la diferencia si el mismo usuario uso un 14-contraseña de 16 caracteres que contengan mayúsculas y minúsculas, así como caracteres no alfanuméricos. Figura 7-27: sólo tres días para romper una contraseña sencilla.
Figura 7-28: El tiempo cuadro izquierdo ha aumentado a billones de años.
Hace más de 5 billones de años parecen un poco larga la espera? Por incrementando los caracteres a 14 y el uso de algunos caracteres no-esenciales (es decir, *, &, $, %, ^) las probabilidades de un hacker obtener la contraseña mediante fuerza bruta se convierten en casi imposible. Debido a que muchos usuarios no utilizan este nivel de complejidad, identificando las debilidades de muchos las contraseñas de los usuarios no es difícil. Algunas de las herramientas (dos de los cuales se describen en la próxima sección) ayuda perfil contraseñas potenciales un usuario puede haber elegido.
Contraseña de usuario común de Profiler (CUPP) Creación de perfiles de una persona es uno de los aspectos principales del éxito de una auditoría de ingeniería social. Como se ha comentado anteriormente, la investigación de Tonu muestra que de un total de 734.000 personas, más de 228.000 de ellos sólo seis caracteres en sus contraseñas. Más de 17.000 de esos escogió utilizar la contraseña "123456" y cerca de 4.600 eligió la palabra "password" como su contraseña.
Contraseña de usuario común de Profiler (CUPP) es una herramienta que fue creada para hacer perfiles de contraseña una tarea fácil. Murgis Kurgan, también conocido como j0rgan, ha creado esta increíble herramienta de poco. Se ejecuta como un script en las principales pruebas de penetración, distribución BackTrack, o puede descargarlo desde Www.socialengineer.org/cupps.tar.gz .
La forma de autenticación más común es la combinación de un nombre de usuario y una contraseña o frase de paso. Si ambos coinciden con los valores almacenados en una tabla almacenada localmente, el usuario es autenticado para una conexión. La fortaleza de la contraseña es una medida de la dificultad de adivinar o romper la contraseña mediante técnicas criptográficas o biblioteca automatizada basada en pruebas de valores alternativos. Una contraseña débil puede ser muy corto o utilice únicamente caracteres alfanuméricos, haciendo simples de descifrado. Una contraseña débil puede también ser uno que es fácil de adivinar por alguien de perfiles del usuario, como un cumpleaños, seudónimo, dirección, nombre de una mascota o pariente, o una palabra común como Dios, el amor, el dinero o la contraseña. Porque la mayoría de los usuarios tienen contraseñas débiles que pueden ser fáciles de adivinar, CUPP es una herramienta perfecta para la creación de perfiles. Puede ser utilizado para pruebas de penetración legal o forense investigaciones criminales. El siguiente es un copiar/pegar desde una sesión usando CUPP en BackTrack 4: Root@BT4:/pentest/contraseñas/# ./cupp cupp.py -i Insertar la información acerca de la víctima para realizar un diccionario [Bajo] casos! Si usted no conoce toda la información, simplemente pulse Intro cuando se le pregunte! ;) >
nombre: Juan > Apellidos: Smith > Apodo: Johnny
> Fecha de nacimiento (ddmmaaaa; es decir: 03031965 04111985) > Esposa(esposo) Nombre: Sally
> Esposa(del marido) Apodo: ISA > Esposa(del marido) Fecha de nacimiento (ddmmaaaa; es decir: 05011966 04111985) > nombre del niño: Roger > el apodo de niño: Roggie > fecha de nacimiento del niño (ddmmaaaa; es decir: 05042004 04111985)
Nombre de mascota: máx. Nombre de la Empresa: ABC Papel ¿Desea agregar algunas palabras clave acerca de la víctima? S/[n]: y
Introduzca las palabras separadas por comas. [es decir, hacker, jugo, black]: Christian,polaco,ventas persona ¿Desea agregar S/[n]: N
caracteres
especiales
al
final
de
las
palabras?
¿Desea agregar algunos números aleatorios al final de palabras? S/[n]n Modo Leet? (es decir, leet = 1337) S/[n]: Y Ahora haciendo un diccionario... Ordenar la lista y eliminar duplicados... Guardar diccionario a John.txt, contando 13672 palabras.
Ahora carga el pistolero con John.txt y disparar! ¡Buena suerte!
Observe en el extremo que un archivo de diccionario de 13,672 contraseñas utilizando la información proporcionada fue creado. El poder de este tipo de herramienta es que puede tomar un montón de las conjeturas de los aspecto que consiste en adivinar la contraseña de la ingeniería social.
CeWL Como lo describen sus autores, CeWL Ruby es una aplicación que las arañas una URL determinada a una profundidad determinada, opcionalmente siguiendo los enlaces externos, y devuelve una lista de palabras que luego pueden usarse para los crackers de contraseñas como John The Ripper. Para obtener más información acerca de CeWL www.digininja.org/projects/cewl.php consulte su sitio web en . Eche un vistazo a una sesión usando CeWL en BackTrack4: Root@BT:/pentest/contraseñas/cewl# ruby cewl.rb --help cewl 3.0 (Robin Wood (www.digininja.org)
[email protected]) Uso: cewl [opción] ... URL --help, -h: mostrar ayuda -profundidad x, -d x: profundidad a la araña, --default 2 min_word_length, -m: longitud mínima de palabra, default 3 - -offsite, -s: deje que el Spider visitar otros sitios --write, -w archivo: escriba la salida al archivo --ua, -u usuarioAgente: useragent para enviar --no-palabras, -n: no dan salida a la lista de palabras --meta, -un archivo: Incluir meta datos, archivo de salida opcional - correo electrónico, -e archivo: incluir direcciones de correo electrónico Archivo de salida opcional --meta-temp-dir directorio: el directorio temporal,por defecto /tmp -v:
Verbose: URL del sitio a la araña. Root@BT:/pentest/contraseñas/cewl# ./cewl.rb 1 -d -w pass.txt http://www.targetcompany.com/about.php
Root@BT:/pentest/contraseñas/cewl# cat passwords.txt | wc -l 430 root@BT:/pentest/contraseñas/cewl#
Utilizando CeWL contra una empresa de destino, esta sesión generó 430 posibles contraseñas para intentarlo desde una sola página sobre su presencia en la web.
Y CeWL Cupp son sólo dos herramientas a su disposición para ayudar a perfil y generar listas de posibles contraseñas. Un ejercicio interesante es ejecutar una de estas herramientas usando su propia información y ver si las contraseñas que se utilizan en las listas generadas. Puede ser muy aleccionador y hacer que usted desea tomar muy en serio la seguridad de contraseña.
Resumen
Las herramientas son un aspecto importante de la ingeniería social, pero ellos no hacen el ingeniero social. Una herramienta sólo es inútil, sino el conocimiento de cómo aprovechar y utilizar esa herramienta es de un valor incalculable. Si un tema abrumador resuena en este capítulo, es que la práctica hace la perfección. Si se utiliza el teléfono, el software, las herramientas basadas en la web, u otros gadgets espía, practicando la forma de utilizarlos es esencial para el éxito. Por ejemplo, cuando se utiliza el teléfono para la ingeniería social, puede utilizar tecnologías de falsificación o incluso la voz cambiante de las tecnologías, y teniendo toda esta magnífica tecnología es increíble, si hace una llamada y suena demasiado guión, nervioso y tembloroso o desprevenidos y unknowledgeable, entonces toda esperanza de éxito de ingeniería social y lo más probable es que se pierde toda credibilidad, demasiado. Este principio se remonta a ser muy versados en pretexting. Cómo sería la persona que está intentando suplantar a hablar? ¿Qué dice? ¿Cómo lo diría? Qué conocimientos que poseen? Qué información pedir?
Si el ingeniero social utiliza una herramienta de software, hardware, herramienta, o ambos, se toma el tiempo para aprender los entresijos de cada herramienta y cada función puede hacer o romper el éxito de la auditoría. Las herramientas pueden requerir un tiempo considerable fuera de auditorías y también pueden llenar cualquier deficiencia lagunas que un auditor puede tener. Esta dinámica se hace aparente cuando analice los estudios de caso en el Capítulo 8.
Capítulo 8
Estudios de caso: Diseccionando el Ingeniero social
La mejor seguridad es a través de la educación. -Mati Aharoni
En este libro voy a través de cada aspecto de lo que hace un gran ingeniero social. Poner la información en estas páginas en juego puede hacer un ingeniero social una fuerza a tener en cuenta.
En la escuela, los estudiantes revisar la historia para saber lo que debe o no debe hacerse. La historia es una gran herramienta para educarnos sobre qué cosas han funcionado en el pasado y por qué. Puede decirnos hacia dónde vamos y cómo podemos llegar allí. Historia de ingeniería social no es tan diferente. A lo largo de la historia de los negocios, las personas que han estado allí para estafa y robar. Las personas han dedicado sus vidas a ayudar a proteger contra las malas fuerzas. Discutir los aspectos profesionales de los ataques de ingeniería social es a menudo difícil porque fueron hecho ilegalmente o no puede discutirse abiertamente debido a contratos con clientes. Afortunadamente, Kevin Mitnick-mundialmente famoso ingeniero social y experto en seguridad informática ha publicado muchas de sus historias para nuestro placer de la lectura. He tomado algunas de estas historias de su libro El Arte del engaño . En este capítulo yo recoger dos de Mitnick más famoso de las historias de sus libros y dar una breve recapitulación de lo que Kevin hizo, analizar qué aspectos de la ingeniería social y él hablando de lo que todos podemos aprender de ella.
Después de la disección de estas dos cuentas puedo hacer lo mismo con dos de mis propias cuentas que demuestran la facilidad con que se puede obtener fácilmente la información y cómo puede utilizar la información para poner en peligro a toda la empresa. Por último, voy a revelar dos "top-secret" historias cuyas fuentes I
No se puede ni siquiera mencionar, pero como verá, usted aprenderá mucho de estas cuentas. Lo que yo estoy tratando de hacer es mostrarle cómo peligroso incluso pequeños trozos de información puede ser, y lo devastadoras que pueden estar en manos de un ingeniero social calificado. Al mismo tiempo, verá cuando un ingeniero social puede aprender de los éxitos y los fracasos del pasado para mejorar sus propias habilidades.
Empecemos con el primer estudio de caso. Mitnick Estudio de Caso 1: Hacking el DMV Kevin Mitnick es ampliamente conocido como uno de los más notorios del mundo los ingenieros sociales. Él ha realizado algunos de los más aguerridos y hazañas más famosas en el mundo y el exploit examinados aquí lo es especialmente. Una licencia de conductor a menudo puede venir en práctico para la obtención de información sobre personas. Con el objetivo de número de licencia del conductor puede permitir un ingeniero social para obtener todo tipo de información personal. Sin embargo, no existen servicios gratuitos que permiten a una persona para obtener acceso a esta información personal. Un ingeniero social o investigador privado debe ir a través de algunas longitudes para poder obtener y usar esta información en un destino.
Kevin Mitnick, en su libro El Arte de engaño, tiene una historia que él llama "La picadura inverso." Las siguientes secciones proporcionan información básica y análisis de esta cuenta. El objetivo En uno de Mitnick's Greatest historias, él explica cómo "Eric" quería utilizar la no-pública del Departamento de Vehículos Motorizados (DMV) y sistemas policiales para obtener la licencia de conductor números. Él necesita regularmente para obtener información sobre
licencias de objetivos. Eric tenía un método de obtención de esta información, pero teme repetidas llamadas de ingeniería social haría llamar al DMV inútiles o alertar a la policía para sus caminos. Necesitaba un método diferente para acceder a la red del DMV y con algunos conocimientos de cómo funciona el DMV él sabía exactamente cómo hacerlo. Su
Objetivo era doble: no sólo el DMV, sino también la policía le ayude (por supuesto, sin saberlo) en el cumplimiento de su meta de obtener esta información. La historia Eric sabía que el DMV podría dar información privilegiada a los organismos de seguros, los investigadores privados (PIS), y algunos otros grupos. Cada sector tiene acceso únicamente a determinados tipos de datos.
Una compañía de seguros está en posesión de una información diferente a un PI, mientras que un agente del orden público puede tener todo. Eric de la meta era conseguir toda la información. La obtención de un número de teléfono DMV inéditos Eric tomó algunos pasos que realmente demostró sus excelentes habilidades de ingeniería social. En primer lugar pidió información por teléfono y preguntó por el número de teléfono de la sede de DMV. Por supuesto, el número fue dado era para el público y lo que quería era algo que lo llevarían a la más profunda.
Entonces pidió a la oficina del sheriff local y preguntaron por el teletipo, que es la oficina donde las comunicaciones son enviadas y recibidas por otros organismos encargados de hacer cumplir la ley. Cuando llegó al departamento de teletipo, pregunta a la persona para el número que la ley haría uso cuando se llama a la sede del DMV.
Ahora no sé sobre usted, pero que parece que sería un fracaso. Simplemente hizo alrededor: "¿Quién es usted?" le preguntó Tenía que pensar rápidamente y respondió, "Esto es Al. Estuve llamando 503-555-5753". Todo lo que hizo fue dar un número aleatorio con el mismo código de área y número de base y los últimos cuatro dígitos. Entonces él callar. El funcionario hizo algunos supuestos:
Él era interno y ya tenía el número para un no-espacio público (teletipo).
Lo tenía casi todo el número para la DMV. Con esos dos hechos firmemente en la mente del oficial supone que Eric fue permitido y le dio el número. Eric quería más de un número, aunque; quería tantos como él podría conseguir en sus manos.
El logro de este objetivo requerirá una aún más profunda hack-multi-nivel, ataque multifacético con diferentes caminos. Sería de proporciones épicas. Acceso al estado del sistema telefónico Eric llamado el número fue dado a meterse en el DMV. Dijo la representante de DMV fue de Nortel y necesitaba hablar con un tecnico porque trabajó con el DMS-100, un gran interruptor. Cuando estaba con el técnico afirmó estar con el centro de asistencia técnica de Nortel Texas y explicó que se estaba actualizando todos los interruptores. Se haría de forma remota y el técnico no es necesario hacer nada excepto proporcionar el número de teléfono al cambiar de modo Eric podría realizar las actualizaciones directamente desde el centro de asistencia técnica. Esta historia sonaba totalmente creíble, así que el técnico cumplió, dando Eric toda la información que había solicitado. Armado con esta información ahora podía marcar directamente en uno de los conmutadores telefónicos del estado.
Conseguir una contraseña El siguiente obstáculo era uno que podría haber parado todo este hack muertos en sus vías de obtención de contraseñas. Los conmutadores Nortel que el DMV utilizados fueron protegidos por contraseña. A partir de la experiencia en el uso de conmutadores Nortel Eric sabía que Nortel utiliza una cuenta de usuario predeterminada, ANT. Eric luego marcado varias veces tratando las contraseñas estándar ha encontrado:
Ant-fail Nombre de cuenta-fail Helper-fail
Parche de actualización de fallos de éxito
Wow, ¿verdad? La contraseña era actualizar . Ahora él tenía pleno control sobre el interruptor y todas las líneas conectadas. Cuestionó las líneas telefónicas que eran su objetivo. Él rápidamente descubrió que 19 líneas telefónicas acudió al mismo departamento. Después de comprobar algunos de la configuración interna del conmutador se enteró de que el interruptor estaba programado para cazar a través de las 19 líneas hasta que encuentra uno que no estaba ocupado. Él escogió la línea 18 y entró el reenvío estándar código que agrega un comando de reenvío de llamadas a esa línea telefónica. Eric compraron un barato, teléfono celular pre-pago que podría eliminarse fácilmente. Ingresó a ese número como el número al que desea reenviar a cuando la línea 18 estaba sonando. Básicamente, tan pronto como el DMV se llenaba lo suficiente como para tener gente en 17 líneas, el 18º anillo llamada no al DMV, pero a Eric del teléfono celular.
No fue demasiado largo hasta que comenzó a suceder. Alrededor de las 8:00 a.m. de la mañana siguiente el teléfono celular comenzó a sonar. Cada vez, era un oficial de policía buscando información sobre una persona de interés. Él se llama campo de la policía en su casa, durante el almuerzo, en el coche, sin importar dónde fue fingió ser representante del DMV.
¿Qué me hizo llegar personalmente una buena risa fue cómo las llamadas son reportados como ir: El teléfono celular sonaba y Eric diría, "DMV, ¿puedo ayudarle?" "Este es el Detective Andrew Cole". "Hola Detective, ¿qué puedo hacer por usted hoy?". "Necesito una Soundex 005602789 en la licencia de conductor". "Seguro, permítaseme traer el registro." Mientras él trabaja en un equipo simulado pidió un par de preguntas: "El Detective Cole, cuál es su agencia?". "El Condado de Jefferson". Eric ejecutaría las siguientes preguntas: "¿Cuál es su código de solicitante?" "¿Cuál es tu número de licencia de conducir?" "¿Cuál es tu
fecha de nacimiento?". Como el oficial daría toda su información personal, Eric podría fingir estar verificando todo. Luego tendría que fingir la confirmación y detalles pregunte lo que necesitaba en su llamada. Iba a fingir para buscar el nombre y demás información que luego diga, "Mi equipo ha vuelto a caer. Lo sentimos, el detective,
Mi equipo ha estado parpadeando durante toda la semana. ¿Le importaría que volvimos a llamar y obtener otro empleado para ayudarle?". Esto sería un poco irritante, estoy seguro, para el oficial, pero sería atar todos los cabos sueltos. En el ínterin, Eric ahora propiedad de la identidad de ese funcionario. Él podría utilizar esta información para muchas cosas, pero sobre todo para obtener información del DMV siempre que sea necesario.
Él hizo su recopilación de información del DMV durante unas horas llamado de vuelta al interruptor y deshabilitado el reenvío de llamadas; él tenía ahora una jugosa lista de información en su posesión. Durante meses después de este hack, Eric fácilmente podría marcar de nuevo, activar el interruptor de desvío de llamadas, recopilar una serie de información oficial de los hechos, desactivar el desvío de llamadas y, a continuación, utilice las credenciales de policía para obtener licencias de conductor válida que iba a vender a investigadores privados o de otros que no pregunte cómo obtuvo esta información.
SE APLICA el marco para la DMV Hack En la historia, Kevin identificaron algunas cosas que Eric hizo y actitudes que él había realizado con éxito, como la de no estar temerosos o incómodos hablando con la policía y ser capaz de encontrar su camino alrededor de zonas desconocidas.
También puede determinar qué parte de la ingeniería social Eric marco utilizado y cómo se utiliza. Por ejemplo, el primer paso para el éxito de cualquier auditoría o ataque de ingeniería social es el acopio de información. En esta cuenta puede ver que Eric debe realmente han hecho sus deberes antes del ataque. Él sabía mucho sobre el sistema telefónico, la forma en que opera el DMV y el funcionamiento general del proceso quería infiltrarse. No estoy seguro de cómo este ataque ocurrido hace mucho tiempo, pero hoy en día hacer un ataque como es aún más fácil gracias a Internet. Es una mina de oro para
el acopio de información. Hace apenas un par de años alguien descubrió un hack para un Tranax ATM, y en pocas semanas manuales que contienen paso a paso los procesos de cómo realizar el ataque estaban disponibles en Internet. Asimismo, como se mencionó anteriormente en este libro, eligiendo un pretexto que imita lo que hacen en la vida real o cosas que hiciste en el pasado puede aumentar su
Probabilidad de éxito. El poder reside en el hecho de que porque el pretexto es más "realista" a usted le ayuda a recopilar información así como incumplimiento del objetivo. Eric parecía tener un conocimiento íntimo de este campo. Como ustedes recordarán, en la siguiente parte del marco es la obtención, o ser capaz de artesanía hábilmente las preguntas para obtener información o acceder a algo que usted quiere. Eric obtuvo información magistralmente. Cuando en el teléfono con la policía, Eric's uso de evocación sirvió como prueba de que él fue quien dijo que él era, y sabía que su "trabajo". Él conocía el Lingo y pregunta preguntas de rutina que tienen que ser resueltas. Como cuestión de hecho, no pide esas preguntas habría causado probablemente más de una alarma que preguntando. Ese es el poder de evocación buenas tácticas.
A principios de Eric sabía que él tenía para obtener ciertos números de teléfono para realizar el ataque. En lugar de tratar de explicar por qué necesitaba cierta información, él utilizó un cierre que supone como se mencionó en el Capítulo 3, preguntas frecuentes y que, básicamente, declaró: "Me merecen estas respuestas ahora, para decirme lo que yo estoy haciendo." Este es otro ejemplo de fuerte evocación; usted puede aprender mucho de analizar sus métodos de cerca. La mayoría de los buenos ataques también incluyen una cantidad muy elevada de pretexting. Esta cuenta no fue la excepción. Eric tuvo que desarrollar unos pretextos en este vector de ataque. Tenía que cambiar las marchas en muchas ocasiones para conseguir sus objetivos. Impresionante como lo es que Eric tuvo que suplantar a la observancia de la ley (que lo hizo muy bien), tenga en cuenta que esta práctica es altamente ilegal en los Estados Unidos. Usted puede aprender mucho del proceso y los métodos utilizados, pero Eric ser cautelosos en la forma de aplicarlos. Incluso en una auditoría ingeniería social pagado, suplantando a un agente encargado del cumplimiento de la ley es ilegal. Conoce tus Leyes locales-esa es la lección, o no tengas miedo de ser atrapados. A pesar del hecho de que es ilegal, usted puede aprender mucho del análisis de Eric de la actitud en este hack. Siempre fue recopilada. Cuando puso en el pretexto del agente del DMV, fue capaz de
utilizar evocación que sirve como la prueba. Cuando puso en el pretexto de la policía, su actitud, voz y frases de copia de seguridad de todo el pretexto. Cambio de marchas puede ser difícil para muchas personas, así que es mejor practicar antes de ir "en vivo" con este. Eric pretextos son sólidos y él hizo un trabajo magistral a celebrar juntos, especialmente cuando tuvo que actuar como un agente del DMV y campo llamadas reales
Por parte de la policía. En muchas circunstancias que podrían fácilmente haber caído fuera de personaje, pero él parecía celebrar juntos bastante bien. Muchas de las técnicas utilizadas por los aspectos psicológicos de la ingeniería social, como tacos y microexpressions ojo, no fueron utilizadas en este ataque porque ocurrió principalmente a través del teléfono. Eric pasó a tener que utilizar ciertos aspectos del marco, sin embargo, tales como establecimiento de comunicación, PNL (programación neurolinguistic), y modos de pensar.
Eric parecía ser un natural a aumentar la confianza. Fue agradable y campechano, parecía no tener miedo del "qué pasaría si…", y pudo ser y actuar confianza en sus capacidades. Él plantea su voz y su conversación en una manera que le dio a la persona en el otro extremo del teléfono todas las razones para confiar en él y no hay razón para no creer en él. Eric utiliza impresionante entrevista e interrogatorio tácticas, incluso con ellos sobre los agentes encargados de hacer cumplir la ley que tengan experiencia en entrevista tácticas. Él usó esas tácticas tan exitosa que fue inadvertido en sus métodos y obtenido toda la información que quería. Eric también parece tener una excelente comprensión y capacidad para influir en el uso de tácticas. Probablemente uno de los más notables en el ataque fue cuando él preguntó al policía que volver a llamar para obtener otro agente del DMV. Esto probablemente fue molesto para el oficial, pero lo que hizo la táctica exitosa es que Eric "dio" la oficina algo en primer lugar . Es decir, él "verificado" los datos necesarios del oficial y cuando iba a dar la pieza final oficial de información es cuando el "equipo" se congeló.
La aplicación de algunas reglas de influencia Eric fue capaz de llegar fácilmente a los agentes a cumplir. Estrechamente vinculado a Eric pretexto fue su habilidad para usar enmarcar correctamente. Para refrescar su memoria, encuadre está trayendo el destino en línea con su pensamiento posicionando a ti y a tus historias para hacerlos creíbles. Se trata de una pieza importante del rompecabezas de pretexto que te hace sobresalir y demostrar al destino que ciertamente es quien dice ser. Eric pretextos eran geniales y creíble, pero lo que realmente les vendieron fueron las
tramas que él utilizó. Su marco cambia dependiendo de quién estaba hablando. En un momento, tuvo que asegurarse de que el oficial sobre el otro extremo le daría el número de teletipo; en otra llamada tenía que ser un experto y cualificado DMV
Agente. Eric se hizo creíble utilizando entramado asumiendo que obtendría la información que solicitó, sin mostrar ningún temor en sus relaciones, y confiadamente pidiendo información que "siente" que se le adeudaban. Todas estas actitudes enmarca el pretexto para aceptar su destino y permitir respuestas naturales.
Como usted puede ver, usted puede aprender mucho analizando Eric ataque de ingeniería social. Uno sólo puede suponer que Eric había practicado todos estos métodos o tenía un par de carreras en seco para saber todo lo que hizo sobre el interior de los sistemas utilizados en el ataque. Eric's métodos trabajó para él y tuvieron éxito, pero me habría tomado un par de precauciones adicionales. Por ejemplo: Cuando fue el envío de llamadas de DMV, hubiera hecho seguro que me transmitió el número sólo cuando yo estaba en la "oficina". Yo habría establecido una zona de oficina con algunos ruidos de la oficina de fondo y tenía los suministros adecuados para que anote toda la información que necesitaba para evitar el riesgo de una camarera o amigo volando mi cubierta.
Aunque un teléfono celular desechable es una buena idea para fines de seguimiento, otra técnica es tener que enviar a un número de Google Voice o número de Skype. Tiendo a no confiar en señales celulares, y nada podría haber arruinado el concierto más rápido que tener la llamada gota o tener una débil señal llena de estática. Además de estos elementos no se puede mejorar mucho en este hack. Eric hizo un trabajo excelente en asegurándose de que estaba bien hecho utilizando muchos de los talentos y habilidades en el marco de cumplir su objetivo.
Mitnick Estudio de Caso 2: Hacking la administración de la Seguridad Social
Mitnick menciona a un hombre llamado Keith Carter, un menos-quehonorable investigador privado contratado para hacer alguna excavación en un hombre que estaba escondiendo fondos de su pronto-a-ser-esposa. Ella había financiado su empresa, la cual ha crecido hasta convertirse en una empresa multimillonaria. El divorcio era casi resuelta pero la mujer los abogados necesarios para encontrar el "activos ocultos". Este vector de ataque es interesante porque, como
en
la
primera
Caso de estudio, la historia sigue un método muy oscuras de recopilación de inteligencia.
El objetivo El objetivo era encontrar los bienes del marido, "Joe Johnson", pero esa no era la meta efectivamente utilizados para los ataques de ingeniería social. Para obtener información acerca de Joe, el investigador privado, Keith, había para piratear la Administración de Seguro Social (SSA). Muchas veces en una auditoría de ingeniería social esta opción se presentará. Esta sección cubre algunos de los métodos que se utilizan para llevar a cabo este objetivo, pero baste decir que la piratería en el SSA es una pendiente muy resbaladiza. Conforme avanza la historia verá cuán peligrosa es esta particular fue hack.
La historia Joe Johnson estaba casado con una mujer muy rico. Él había utilizado conscientemente a decenas de miles de dólares para invertir en uno de sus ideas. Esa idea se convirtió en una organización multimillonaria. Como las cosas suceden, su matrimonio no era demasiado sólida, por lo que decidió divorciarse. Durante el proceso de divorcio, pronto a ser ex-Sra. Johnson "sabía" se escondía su dinero, tratando de mantenerla fuera del acuerdo de divorcio.
Ella contrató a Keith, el investigador privado que era menos-queético, hombre que no mente cabalgando al borde de lo legal y lo que no era la de obtener la información que necesita para hacer el caso. Como Keith se sentó para analizar el caso determinó que un buen punto de partida fue la administración de la Seguridad Social. Pensó que si él podría obtener registros de Joe él sería capaz de encontrar algunas discrepancias y clavo su ataúd cerrado. Quería ser capaz de llamar libremente a Joe's bancos, empresas de inversión, y cuentas offshore pretexting como Joe. Para hacerlo se necesita cierta
información detallada, que es lo que le llevó a la ruta de la piratería de la oficina de la Seguridad Social. Keith comenzó con la recopilación de información básica. Él entró en línea y encontró una guía que describe los sistemas internos del SSA y sus sistemas internos de terminología y jerga. Después de estudiar y tener la jerga abajo pat llamó el
Número público local de la oficina de la Seguridad Social. Cuando él consiguió una persona viva pidió ser conectado a la oficina de reclamaciones. La conversación fue como este: "Hola, esta es Gregory Adams, Oficina de Distrito 329. Oigan, estoy tratando de llegar a un ajustador de reclamos que gestiona un número de cuenta que finaliza en 6363 y el número he va a una máquina de fax".
"Oh, que es Mod 3, el número es…" En realidad? Así de fácil? Wow. Dentro de unos momentos se obtiene el número de los teléfonos de la oficina interna que el público normalmente no podemos conseguir. Ahora viene la parte difícil. Él tiene que llamar a Mod 3, cambie su pretexto, y obtener información útil sobre Joe. El jueves por la mañana viene alrededor y parece que Keith tiene su plan bien establecidos. Él coge el teléfono y marca el número Mod 3:
"Mod 3. Esto se puede Linn Wang". "Sra. Wang, esto es Arthur Arondale, en la Oficina del Inspector General. Puedo llamar 'May'?". "Es 'May Linn'", dice ella. "Bien, es como este, puede Linn. Tenemos un nuevo chico que no tiene un ordenador, sin embargo, y ahora él tiene un proyecto de alta prioridad para hacerlo es mediante la mía. Somos el gobierno de los Estados Unidos, para ponerse a gritar, y ellos dicen que no tienen suficiente dinero en el presupuesto para comprar un equipo de este tipo para su uso. Y ahora mi jefe piensa que estoy cayendo detrás y no quiere escuchar ninguna excusa, sabes?".
"Yo sé lo que quieres decir, todo derecho". "me puede ayudar con una rápida investigación sobre MCS?" preguntó, usando el nombre del equipo para buscar información sobre los contribuyentes.
"Seguro, ¿Qué necesitas?". "La primera cosa que hay que hacer es un alphadent sobre Joseph Johnson, DOB 7/4/69." ( Alphadent significa tener el equipo buscar una
cuenta alfabéticamente por el nombre del contribuyente, identificadas por la fecha de nacimiento).
¿Qué se necesita saber?". "¿Cuál es su número de cuenta?" Keith solicita (esto es Joe's número de la Seguridad Social está pidiendo).
Ella leerla. "Bien, necesito hacer una numident en ese número de cuenta." ( Numident es similar a alphadent, sólo es una búsqueda numérica en lugar de un uno alfabético.) Esto fue un pedido de ella para leer la base de datos de los contribuyentes, y puede Linn respondió ofreciendo a los contribuyentes del lugar de nacimiento, el apellido de soltera de la madre, y el nombre de su padre. Keith escucharon pacientemente mientras ella también le dio el mes y el año Joe's número de la Seguridad Social fue emitido, y la oficina de distrito fue publicada por.
Keith siguiente pregunta para un DEQY (pronunciado "DECK-wee", abreviatura de "consulta detallada de ganancias"). "Para qué año?" "Año 2001".
Puede Linn dijo, "La cantidad fue de $190,286, y el pagador fue Johnson MicroTech". "Cualquier otra los salarios?" "No". "Gracias", Keith dijo. "Ha sido muy amable". Keith luego trató de organizar a su llamada siempre que necesitaba información y "no podían llegar a su ordenador", usando un truco favorito de los ingenieros sociales de siempre intentando establecer una conexión con el fin de que pueda seguir yendo a la misma persona, evitando la molestia de tener que encontrar una nueva marca cada vez.
"No la próxima semana", le dijo ella a él, porque iba a Kentucky para la boda de su hermana. En cualquier otro momento, ella haría todo lo que pudiera.
En este punto parecía Game Over. Keith tenía toda la información que obtenga y ahora era sólo una cuestión de llamar a los bancos y cuentas offshore, que, armados con la información que había, ya se había convertido en una tarea mucho más fácil.
Un bien ejecutado y verdaderamente imponente ataque. SE APLICA el marco para la SSA Hack La SSA ataque descrito sólo sale de su boca entreabierta y los ojos. Usted puede aprender mucho de este ataque en concreto, que utiliza los social
Marco de ingeniería. Keith comenzó el ataque con el acopio de información. Probablemente usted está realmente cansado de oírme decir esto una y otra vez, pero tener información es realmente el quid de todo buen ingeniero social de ataque cuanto más haya, mejor. Keith encontró por primera vez un verdaderamente impresionante pieza de Intel en la Web, que dumbfoundingly suficiente, aún se encuentra en línea en Https://secure.ssa.gov/apps10/poms.nsf/ . Este enlace te dirige a un manual online para las operaciones del Programa de Administración de la Seguridad Social. Contiene jerga y abreviaturas, instrucciones, así como lo que se permite a los empleados de la SSA decirle a la aplicación de la ley. Armado con esta información, Keith sabía qué pedir, cómo pedirlo y cómo suena como él pertenecía, así como qué información podría levantar banderas rojas. Aunque el enlace proporcionado una gran riqueza de información, se decidió a tomar el acopio de información un paso más con el pretexto de un empleado de la Oficina de Inspector General y llamando a su oficina local de la SSA. Él realmente el pensamiento fuera de la caja, mediante su oficina local para obtener los números internos necesarios para completar su pretexto como un empleado. Keith pretextos conmutada un par de veces y lo hizo magistralmente. Él fue capaz de obtener mucha de la información necesaria mediante la SSA en línea manual para desarrollar las preguntas adecuadas. Este manual resultó ser una evocación Developer's Dream. Armado con las palabras correctas y el lenguaje, sonaba como él se integran a la perfección. Él construyó la compenetración y una trama que alimenta los pretextos perfectamente. Aumentar la confianza no es una tarea fácil, pero Keith lo hizo bien y de una manera que indicaba que estaba bien practicado en esta técnica. Se utilizan muchas tácticas de influencia para asegurarse de que el objetivo se sentían cómodos y relajados. Por ejemplo, él mezcló obligación y reciprocidad artísticamente. Cuando él era capaz de obtener mayo Linn en su lado describiendo la falta de buenas herramientas y la
falta de apoyo de su gestión, se sintió obligado a ayudar a él. También utiliza palabras clave y frases que comandaba la empatía y, sin embargo, mostró su autoridad, tales como "mi jefe no está contento conmigo", lo que da una indicación de que está en problemas y que la SSA empleado, puede Linn, lo puede salvar. Las personas tienen una obligación moral para salvar a aquellos en necesidad. No muchos
Pueden irse cuando alguien está pidiendo ayuda, y puede que tampoco Linn. Ella se sentía obligada a no sólo ayuda, sino incluso a decirle a Keith sobre su horario personal. En el extremo, Keith utiliza un número de importantes competencias en el marco de que no impliquen personal in situ, acción en persona. El hecho de que los sistemas gubernamentales son conducidos por personas hacerlas falibles a los métodos de piratería utilizada en esta historia. Este no es un argumento para la invención de robots o sistemas automatizados para hacer estos trabajos; simplemente se señala el hecho de que muchos de estos sistemas se basan tanto en sobrecargados, mal pagados, se sobrecarguen la gente que manipula no es un trabajo muy duro.
Para ser honesto, mejorando este ataque en concreto es difícil porque no se me volvería a realizar yo y Keith hicieron un trabajo excepcional de la aplicación de los principios del marco. Muchas personas están acostumbradas a ser maltratados, abusados y gritó en que un poco de amabilidad les puede hacer ir a alturas extraordinarias para ayudar. Este ataque en concreto como retransmiten en Mitnick es el arte del engaño muestra cuán vulnerables son los sistemas que dependen de las personas son realmente.
Estudio de casos 1: Hadnagy confíe el CEO Mi experiencia con un confíe CEO es interesante porque el CEO pensó que sería inmune a cualquier intento de ingeniería social por dos razones: en primer lugar, él no utilizan tecnología tanto en su vida personal y, en segundo lugar, le pareció que era demasiado inteligente y protegidos en la caída, por lo que él llamó "tonto juegos".
Con que se dice a su equipo de seguridad interno decidieron preguntarme para concentrarse en él como el objetivo de la auditoría. Se sabía que si fallan la auditoría sería más fácil
obtener la aprobación para implementar muchas de las soluciones que ayuden a su seguridad. El objetivo
La meta fue una empresa de impresión de tamaño decente en los EE.UU. que había algunos procesos propietarios y proveedores que algunos de sus competidores fueron después. Los equipos de TI y seguridad de la empresa había realizado algunas debilidades y convencido de la CEO una auditoría era necesaria. En una reunión telefónica con mi pareja, el CEO de arrogancia dijo que sabía que "hacking él sería casi imposible porque él custodiado estos secretos con su vida." Ni siquiera algunos de su personal básico conocía todos los detalles. Mi trabajo como auditor de la SE era infiltrar a la compañía a obtener acceso a uno de los servidores de la compañía donde se celebró esta información patentada y recuperarla. La dificultad, como el CEO había mencionado en el teléfono, fue que las contraseñas de los servidores se almacenan en su ordenador y nadie tenía acceso a ella, ni siquiera el personal de seguridad, sin su permiso.
La historia Al parecer, la forma en tendría que involucrar a los CEO, que presentaba un reto porque estaba listo y esperando un intento de infiltración. Empecé como hice con cualquier gig-mediante el acopio de información. Investigué la empresa utilizando los recursos en línea y otras herramientas como Maltego. Yo era capaz de cosechar información tal como la ubicación de servidores, direcciones IP, direcciones de correo electrónico, números de teléfono, direcciones físicas, los servidores de correo electrónico, nombres de empleados y títulos, y mucho más. Por supuesto, he documentado toda esta información en una forma que lo hizo fácil de usar después. La estructura del e-mail era importante porque lo busqué en la web he visto que era
[email protected] . No he podido encontrar el CEO's e-mail pero muchos artículos que aparecen su nombre (vamos a llamarlo Charles Jones) y el título en su sitio. Esta sería la información estándar, no informó el atacante podría obtener. Utilizando el formato
[email protected], he intentado enviar un e-mail a él. No funcionó. Yo estaba realmente decepcionado en este momento, porque yo estaba seguro de que el método de correo
electrónico produciría un montón de detalles jugosos. Decidí probar un apodo para Charles, así que intenté
[email protected] . Dulce éxito! Yo tenía una dirección de correo electrónico verificada. Ahora solo tuve que verificar que era el CEO y no algún otro tipo con la
Mismo nombre. Yo pasé algún tiempo en Google y Maltego para recolectar la mayor cantidad de información que he podido. Maltego tiene esta gran transformación que me permite buscar un dominio para cualquier archivo que sería visible a un motor de búsqueda normal. Yo corrí la transformación contra el dominio de la compañía y fue saludada con una increíble cantidad de archivos para navegar en el web. Maltego no solo proporcionar nombres de archivo con esta transformación. Muchos archivos contienen metadatos, que es el de la información sobre las fechas, creadores y otros pequeños jugosos chismes sobre el archivo. Ejecutando los metadatos Maltego transformar me mostró que la mayoría de estos archivos fueron creados por un "Chuck Jones." Mucho del contenido de los archivos habló de él como el CEO. Esta fue la confirmación que necesitaba, pero durante mi mostrando un archivo había capturado mi ojo-InvoiceApril.xls. Al leer ese archivo descubrí que era una factura de un banco local para una empresa de marketing Chuck fue involucrado. Yo tenía el nombre del banco, la fecha y el monto, pero no me dio el caso de que la empresa era una parte de. Hice una búsqueda rápida del banco web sino porque el evento se hacía seis meses que no aparecía en el sitio. ¿Qué puedo hacer?
Me decidí a hacer una llamada a la persona de marketing del banco:
"Hola, soy Tom de [CompanyName]. Estoy intentando organizar nuestros libros y veo una factura aquí desde Abril de 3.500 dólares como un paquete de patrocinio. No veo el nombre de evento-puede usted decirme lo que se factura?". "Seguro, Tom," dijo ella y he escuchado algunos ruidos de fondo. "Veo que fue el banco Children's Cancer anual del Fondo duro y que formaban parte del paquete de Plata". "Muchas gracias; soy nuevo aquí y agradezco su ayuda. Hablar con usted más adelante".
Yo estaba empezando a ver una imagen de un posible vector de ataque que yo podría usar, pero necesitaba algo más investigación y necesitaba hacer una llamada telefónica muy cuidadosamente planificada. He encontrado algunos artículos en la Web sobre esta recaudación y cuántas
Las empresas provenientes de todas las partes de la comunidad para apoyar con el dinero para el tratamiento del cáncer de la investigación. Además, la excavación más que hice en el CEO más me enteré acerca de él. Yo tenía los nombres de sus padres, sus hermanas' nombres, fotografías de sus hijos que él tiene en Facebook, la iglesia fue a cuando vivía cerca de sus padres, un comentario que escribió de su restaurante favorito, su equipo deportivo favorito, su hijo mayor del equipo deportivo favorito y donde él atendió a la universidad, donde sus hijos van a la escuela, y la lista continúa. Quería averiguar por qué la empresa dona a la Children's Cancer Fund. Aunque muchos de los ingenieros sociales malintencionados explotar las emociones de los demás, y me di cuenta de que podría tener que ir por ese camino, yo quería saber si el fondo era algo que estaba involucrado en porque uno de sus hijos tiene cáncer. He colocado una llamada al director de marketing de la empresa:
"Hola, esto es Tom de XYZ. Yo estaba contratado por el First National Bank en la ciudad para llamar a quienes participaron en la edición de abril de Children's Cancer Fund y me preguntaba si me podría tomar unos minutos de su tiempo para obtener alguna información?". "seguro", Sue, el director de marketing, dijo. "Sue, veo que formaban parte de nuestro paquete de plata en abril. Te sentiste la comercialización ha recibido valía la pena el precio que usted paga?"
"Bueno, esto es algo que hacemos cada año y hace mucho tiempo de la prensa en el área local. Supongo que no le importaría ver un poco más en el sitio web del paquete de Plata". "Excelente; tomo nota de ello. Cada año, sí, puedo ver que hacer cada año. Me pregunto personalmente, con muchos recaudadores de fondos allí Porqué elegiste este?". "Sé que Chuck siempre ha sido particular a ésta. Él es nuestro Director General y creo que alguien en su familia ha luchado cáncer".
"Oh mi; Siento oír eso. No es a sus propios hijos es?" "No, creo que un sobrino o primo. Realmente no hablar." "Bueno, desde luego, agradecemos tus donaciones y apoyo".
He acabado con unas cuantas preguntas más y luego a la izquierda en eso, agradeciéndole su tiempo, y se separaron.
Obtuve la información que necesitaba y no fue uno de sus hijos que tenían cáncer. De nuevo, yo sabía esto no dejaría un ingeniero social malicioso, pero yo estaba muy curioso. Armado con esta información que yo estaba listo para planificar mi vector de ataque.
Yo sabía que el CEO estaba originalmente de Nueva York y su restaurante favorito era un lugar llamado Domingoes. Iba a llevar a sus hijos a menudo para un juego de los Mets y entonces iban a ir a comer al Domingoes.
Escribió algunas valoraciones sobre el lugar y habló sobre sus tres primeros platos preferidos. Yo sabía que sus padres todavía vivían cerca y visitó a menudo de algunas otras cosas que escribió en Facebook. He planeado mi vector de ataque a un recaudador de fondos para la investigación del cáncer. Fue para el área tri-estatal y por una pequeña donación de nombre sería entró en una rifa. El premio del sorteo será de dos boletos para un juego de los Mets y una selección de tres restaurantes cupones, uno de los cuales fue Domingoes.
Quiero pretender ser desde Nueva York a mí, pero relativamente nuevo, en caso de que arrojaron cosas en mí que yo no sabía. Mi objetivo final sería para él para aceptar un PDF a partir de mí sería maliciosamente codificado para darme un reverse shell y me permiten tener acceso a su ordenador. Si no se utiliza una versión de Adobe que me permitiría el acceso y, a continuación, me gustaría tratar de convencerlo para descargar un archivo zip y ejecute un EXE adjunto que tendría el archivo malicioso incrustado.
He practicado la conversación telefónica me gustaría utilizar mi pretexto, He probado mi PDF y archivos EXE, y tuve que abrir Google Maps para la ubicación de Domingoes así pude hablar abiertamente de esa zona. Después tuve mi equipo listo y a la espera de recibir la carga maliciosa de la víctima, yo estaba listo para realizar la llamada. He colocado la llamada telefónica alrededor de las 4:00 p.m., porque me enteré a través del sitio web de la empresa que la oficina
cierra a las 4:30 los viernes. Porque yo no estaba en la reunión inicial, llamada de teléfono para establecer esta auditoría, (mi compañero estaba), el CEO no reconocería mi voz.
"Hola, es el Sr. Charles Jones disponible?". "Seguro de un segundo." La voz en el otro extremo sonaba cansado y estaba listo para transferir a mí. "Hola, Chuck hablando".
"Hola, El Sr. Jones, mi nombre es Tony del Cancer Research Institute de los Estados Unidos. Estamos ejecutando un fondo anual campaña de apoyo a nuestra investigación en cánceres que afectan a hombres, mujeres y niños".
"Por favor, llámeme Chuck", lo interrumpió. Esta es una buena señal porque él no me dio ninguna excusa o intentar finalizar la llamada de teléfono diciendo que estaba ocupado; él tomó sobre sí mismo para personalizar la conversación. Y continué: "Chuck, gracias. Estamos ejecutando una campaña para recaudar fondos para las empresas que apoyaron el cáncer fondos antes y están pidiendo pequeñas donaciones de $50$150 dólares. La gran parte es que todos los que nos ayudan a salir se introduce en un dibujo de dos grandes premios. Si usted gana usted consigue dos entradas para un juego de los Mets de Nueva York y luego de una cena gratis para dos personas en uno de los tres grandes restaurantes. Estamos dando cinco de esos paquetes".
"Los Mets juego, realmente?". "Yo sé, si no te gustan los Mets el premio podría no apelar a usted, pero los restaurantes son buenos". "No, no, me encantan los Mets, es por eso que dije eso. Yo estaba feliz". "Bueno, piense en esto, no sólo estás ayudando a un gran fondo de investigación pero tienes un buen juego y te puedes comer en Morton's, Basilio, o Domingoes". "Domingoes! Realmente! Me encanta este lugar". "Ja, ja, ja, es genial. Usted sabe que yo sólo iba la otra noche por primera vez y el pollo Portabella. Fue impresionante." Este era su tercer plato favorito. "Oh, si usted piensa que es bueno, olvídalo, tenéis que probar el Fra Diablo. Es realmente el mejor plato de allí. Yo comía todo el tiempo". "Voy de nuevo allí durante el fin de semana, sin duda voy a probarlo. Gracias por la punta. Mira, sé que es tarde. Ahora mismo no estoy aun buscando dinero, yo no tener dinero por teléfono. Lo que puedo hacer es enviarle el archivo PDF; puede
mirarlo y si usted está interesado, puede simplemente enviar el cheque con el formulario".
"Heck yeah, enviarlo a través". "Vale sólo un par de preguntas. ¿Cuál es tu e-mail?". "
[email protected] ."
"Si es posible, abra su lector de PDF, haga clic en el menú Ayuda y Acerca, y decirme el número de versión por favor". "Un minuto; es 8.04". "Excelente; no quiero enviarle una versión que no se puede utilizar. Sólo un segundo mientras estamos en el teléfono que voy a enviar a usted-bueno, es enviado". "Muy bien, gracias. Espero ganar; me encanta ese lugar". "Sé; la comida es buena. Antes te dejé ir, ¿podría usted acaba de comprobar para ver si tienes el e-mail y déjame saber si funciona?". "Claro, yo soy el registro en cinco minutos, pero no puedo controlar. Yep, es aquí." Cuando escuché el sonido de doble-clic, miré a mi equipo BackTrack vio mi carga maliciosa collector, Meterpreter (ver capítulo 7), reaccionando. Yo estaba sosteniendo mi aliento (porque esta parte no se hace aburrido) y Bam, el shell apareció. Mi Meterpreter scripts cambió la titularidad a algo como Explorer.exe .
Chuck dijo, "Hmm, todo lo que tengo es una pantalla en blanco. Es no hacer nada". "Realmente? Eso es extraño. Permítanme comprobar aquí." Lo que yo estaba realmente comprobación era que yo tenía acceso a su unidad y la capacidad de cargar una shell inversa que correría en el reinicio en el caso de que se apague. Me dijo, "lo siento, no sé lo que pasó. ¿Me puede dar un minuto o ¿necesitas ir?".
"Así que necesito ir vacío esta taza de café, así que voy a poner el teléfono hacia abajo y estar de vuelta en un minuto". "Excelente, gracias." Ese minuto fue todo lo que necesitaba para asegurarse de que había un número ilimitado y devolver el acceso a su ordenador. Volvió.
"Volver". "Bien, Chuck, estoy realmente avergonzado, pero no sé lo que pasó. No quiero celebrar usted, así que ¿por qué no ir y te enviaremos por e-mail a cuando hago otro PDF. Podemos tocar base lunes".
"Bueno, no hay problema. Tienen un gran fin de semana." "también vosotros, Chuck".
Nos separamos los medios y para mi sorpresa y la extrema alegría a su equipo y se mantuvo en activo. Sí, Él guardó todo en una unidad segura que sólo él
Tenido acceso, pero en documentos de Word. He descargado rápidamente los documentos de Word y en unas pocas horas, yo he tenido acceso a los servidores y se imprimen todos los procesos internos que quería proteger. Hicimos Contacto el lunes por la mañana, no como Tony la recaudación de fondos, pero como sus consultores de seguridad con impresiones de sus "secretos", sus contraseñas, y las grabaciones de las llamadas telefónicas que se hicieron a él y a su personal.
Esta primera reunión tras un ataque exitoso siempre está lleno con el shock inicial del cliente y reclamaciones que hemos utilizado tácticas injustas y debilidades personales para acceder. Cuando nos explica que los chicos malos se usan exactamente la misma táctica, la mirada de ira se convierte en temor, y ese temor se convierte en comprensión. Aplicar el marco se confíe al CEO Hack
Como en los ejemplos anteriores, aplicando el caso para el marco de ingeniería social y viendo lo que era bueno y lo que podría haber sido mejorada puede ser beneficiosa. Como siempre, la recopilación de información es la clave para cualquier esfuerzo de ingeniería social, y esta historia lo demuestra. Recopilación de información de muchas fuentes, la Web, Maltego, el teléfono, y mucho más, es lo que hizo que este ataque exitoso. Insuficiente información habría conducido a un fracaso total.
Buen y abundante información hace toda la diferencia, aunque yo nunca la información necesaria, como su iglesia, y que sus padres y hermanos los nombres. Estas cosas son útiles para tener en caso de que necesitaba, pero lo que ha demostrado ser invaluable fue la información que se encuentra sobre la convención de nombres de correo electrónico y los archivos de los servidores utilizando Maltego. Este fue el camino para llegar a mi pie en la puerta de esta empresa. Mantener la información se encuentra catalogado dentro del canasto o Dradis, como se discutió en el Capítulo 2, y listo para usar, es también importante; de lo contrario, puedes tener un archivo de texto con un aluvión
de información que usted no puede hacer uso de. Organización de la información es tan importante como la recolección y uso de la misma.
Pensar como un chico malo, es decir, buscan maneras de aprovechar las debilidades y deseos del destino, no es una gran parte del trabajo, pero si un auditor profesional quiere proteger a los clientes, que les muestre cómo
Ellos son vulnerables. Cuanta más información se recopile, más fácil encontrar vulnerabilidades se convierte. Usted comenzará a ver las vías que pueden conducir al éxito. Desarrollo de pretextos realista y temas que tendrán el máximo efecto contribuye también a un ataque con éxito. Uno debe poder desarrollar preguntas y usar palabras clave que atraigan el destino. Mediante la recopilación de un montón de información pude desarrollar buenas preguntas y una trama que involucró keywords y neurolinguistic (NLP) power palabras, que luego me utilizado en tácticas de influencia que yo estaba casi seguro de que iba a funcionar.
Mi pretexto tuvo que cambiar a menudo, de llamar a la empresa de proveedores para llamar a empleados internos para obtener información. Tuve que planear cada pretexto, entrar en ese carácter, y logró seguir adelante. Esto, por supuesto, tomó un montón de planificación para asegurarse de que cada pretexto sonaba bien, fluyó correctamente, y tiene sentido. La práctica hace la perfección. Antes de que comenzara el ataque mi pareja y yo practiqué todo. Tenía que asegurarse de que los archivos pdf funcionado y que el vector tiene sentido. También tuve que tener buen conocimiento suficiente para ser creíble para cualquier objetivo estaba hablando en ese momento.
La importancia de practicar no puede ser subestimada. La práctica me permitió averiguar qué táctica funciona y qué no, así como asegurarse de que yo podía atenerse al plan e ir con el flujo, incluso si ese flujo en una dirección en la que yo no estaba pensando en ir. En retrospectiva, he descubierto un par de pequeñas mejoras que se han hecho de este ataque más eficiente. Por una parte, se corre siempre el riesgo de depender exclusivamente de un PDF malicioso; yo debería haber establecido un pequeño sitio web que imitaba el real sitio de investigación sobre el cáncer y el PDF. Tanto el sitio web y el PDF podría haber sido malintencionada. Esto habría duplicado mis posibilidades de éxito y me dio copia de seguridad en caso de una avenida falló. Otro riesgo importante tomé fue que el CEO dejaría su equipo cuando salió de la oficina. Si no, habría tenido que esperar hasta el lunes para intentar obtener acceso. Para mantenerlo en su equipo, debería haber
tenido una "real" en PDF con la información contenida en él se podía leer que quisiera enviar tras el PDF malicioso trabajó en la explotación de su máquina. Esto lo han mantenido trabajando en su máquina el tiempo suficiente para hacer un buen uso de la hazaña.
Esta auditoría tomó alrededor de una semana de trabajo tiempo para investigar, recopilar y organizar la información para que, en la práctica, y luego del lanzamiento. Una semana y los secretos de esta empresa podría haber sido propiedad de sus competidores o por el mejor postor. Leer la historia de un par de veces y tratar de entender los sutiles métodos utilizados y la forma en que las conversaciones fluían. Recogiendo la voz, el tono y el ritmo de conversación es difícil en forma escrita, pero trate de imaginar en esta conversación y decidir cómo manejarlo.
Estudio de Caso 2 Hadnagy: El Parque Temático escándalo El parque temático escándalo caso fue interesante para mí porque se trataba de algunas pruebas in situ. He usado muchas de las técnicas de ingeniería social mencionados en este libro y probado exhaustivamente durante este caso.
También era interesante debido a la naturaleza del negocio y el potencial para el éxito de una estafa. Si tiene éxito, el ingeniero social podrían tener acceso a miles de números de tarjetas de crédito.
El objetivo El objetivo era un parque temático que estaba preocupado por tener uno de los sistemas de ticketing en peligro. Donde los clientes comprueban en cada equipo, contenía un enlace a los servidores, información del cliente y registros financieros. El parque quería ver si existía la posibilidad de que un atacante malicioso utilizan métodos para obtener un empleado para tomar una acción que podría conducir a un compromiso. El objetivo no era obtener un empleado en problemas, sino para ver qué daño sería el resultado de un empleado del equipo de check-in está en peligro. Además, el objetivo fue el de no comprometer los ordenadores mediante hacking sino mediante esfuerzos de ingeniería puramente social.
Si tal transacción podría ocurrir, ¿cuáles fueron las consecuencias?
¿Qué datos se podían encontrar y qué servidores podría estar en peligro? No quisieron profundizar, realmente acaba de averiguar si la primera etapa, un compromiso de ingeniería social, podría funcionar.
Para averiguar si una exitosa se ataque fue posible, tuve que entender el parque temático, los procesos y los métodos para controlar a los clientes y lo que los empleados que no harían en sus terminales -o, lo que es más importante, pueden y no pueden hacer.
La historia Como se mencionó anteriormente, el objetivo de este trabajo en particular no era muy compleja; sólo tuve que averiguar si la persona detrás del mostrador permitiría a un "cliente" para obtener el empleado para hacer algo que obviamente no está permitida. Antes de que yo pudiera siquiera pensar en lo que se tenía que entender su negocio.
He explorado el sitio web del parque y utilizado Maltego y Google para artículos de investigación y otra información sobre la organización. También hice algunas investigaciones in situ. A continuación, fui al parque y pasó por el proceso de compra de un billete en el mostrador de boletos. Durante este proceso, comencé una pequeña conversación con la cajera, y pasé algún tiempo a observar el diseño, sus nodos informáticos, y otros aspectos de la "oficina" en la zona. Esta zona fue donde empecé a ver una imagen clara. Durante la conversación, he mencionado que era de un pequeño pueblo con un gran nombre. Cuando ella le preguntó dónde, y le dije, ella publicó la respuesta normal:
"¿Dónde diablos es eso?". "Tienes acceso a Internet aquí?" "Sí, yo". "Oh, te encantará este. Ir a maps.google.com y escriba el código postal 11111, y lo puso en la vista Satélite. Mire lo pequeña que es la ciudad".
"Oh mi gosh; que es minúsculo. No creo que jamás he oído hablar de este sitio antes de hoy". En este corto periodo de tiempo supe lo siguiente: El diseño del espacio tiene un cajero para trabajar en Compruebe cómo los empleados en cada patrono
Que los equipos tengan pleno acceso a la web Regresé a la página web del parque y comenzó a navegar con una nueva iluminación en sus procesos. Necesitaba una forma en su equipo
Los sistemas. Mi pretexto era razonable-I es un padre que se iba a llevar a su familia al parque temático para el día. Mi historia es que la familia y no tengo planes para hacerlo, pero llegamos al hotel y estábamos navegando por la web para hacer cosas y vio un gran descuento para el parque. Bajamos al vestíbulo y preguntó acerca de la obtención de entradas, pero el precio que nos dieron era bastante más de lo que habíamos visto en la web. Cuando se comprueba el precio que habíamos encontrado, descubrimos que era un precio de sólo web. Pagamos y luego se dio cuenta de los billetes necesarios para ser impresos para que puedan ser analizados. He intentado conseguir el hotel para imprimirlos, pero la impresora estaba abajo. Yo ya había pagado y estaba nervioso acerca de perder los billetes así que me imprimió a un PDF y enviar por correo electrónico a mí. Suena como una historia razonable, ¿no es así?
Se necesitaba un paso más antes de que yo pudiera iniciar mi mal parcela. Tuve que hacer una llamada rápida: "Hola, esta es la oficina principal del Parque Temático XYZ?" "Seguro que es; ¿cómo puedo ayudarle?". Tuve que sacar a una persona interna de la Oficina para formular mi pregunta y asegurarse de que yo tenía la respuesta correcta. Después de solicitar al departamento de compras, yo estaba dirigida a la persona adecuada. Me dijo, "Hola, Mi nombre es Pablo de SecuriSoft. Estamos regalando una prueba gratuita de un nuevo software para leer e incluso imprimir documentos PDF. Me gustaría enviarle la URL para la descarga gratuita, eso está bien?".
"Bueno, no estoy seguro si estamos interesados, pero usted me puede enviar alguna información". "Muy bien, excelente. Puedo preguntar qué versión de Adobe que utilice ahora?" "Creo que todavía estamos en el 8". "Está bien; yo le enviará un paquete de información comparativa hoy".
Armados con la información de la versión, todo lo que necesitaba hacer era crear un PDF malicioso incrustado con un reverse shell (que me daría acceso a su ordenador, una vez abierto el PDF), de llamadas que recibo.pdf y, a continuación, enviarla por correo electrónico a mí. Al día siguiente me fichado a mi familia en un poco de acción de ingeniería social. Como estaban en la distancia me acerqué a la mujer detrás del mostrador
Y comenzó una conversación amistosa. "Hola, cómo estás…Tina?" Me dijo, la lectura de su etiqueta de nombre. "Hacer el bien, ¿en qué puedo servirte?" dijo con una sonrisa amable servicio al cliente. "Ver, decidimos tomar un poco de escapada de fin de semana viaje y estoy en el Hilton por aquí con mi familia", digo, apuntando a mi familia hermosa a unos cuantos pies de distancia. "Mi hija vio el anuncio para su parque temático y suplicó a venir. Le hemos dicho que la llevaría. Hemos encontrado una gran cantidad de entradas en el sitio web…".
"Oh, sí, nuestro web-ocuparse únicamente de ahora muy popular. Puedo tener tus boletos?". "Sí, usted ve esto donde necesito tu ayuda así que no me llega la "perdedor papá del Año' Award." Mi risa nerviosa estaba cubierto por su sonrisa. Me explicó, "Tina, vi que tratar y mi esposa y yo dije, vamos a ahorrar el 15% y hemos comprado los boletos en el ordenador del hotel. Pero después, he terminado de pagar, no pude imprimir la impresora porque el hotel estaba abajo. Pero yo era capaz de guardar como PDF y le envié un correo electrónico a mí.
Sé que esto es una petición extraña, pero podría iniciar sesión en mi cuenta de correo electrónico e imprimirlo para mí?" Ahora esta cuenta fue una genérica llena de e-mails titulado "fotografías de los niños", "Papá y mamá de Aniversario" y cosas así. Yo podría decir que ella estaba realmente luchando con esta decisión y yo estaba seguro de que el silencio sería para mi beneficio o si yo debería ayudarla a pensar detenidamente. Me dijo, "sé que es una petición extraña, pero mi niña acaba de morir para ir y yo odio a decirle 'no.'" quiero señalar otra vez a mi hija que estaba haciendo un gran trabajo en ser lindo pero impaciente.
"Bueno, ¿cómo lo hago?". "Vaya a gmail.com, iniciar sesión con una contraseña y
[email protected] de B-E-S-M-A-R-T." (Lo sé, con esta
contraseña es terrible en una forma, pero un poco de último minuto aviso nunca duele. No visitados fue).
Momentos más tarde Tina fue haciendo doble clic en mi PDF y obteniendo una pantalla en blanco. "Estás bromeando, sí puedo imprimirlo mal? Wow, definitivamente estoy obteniendo el premio Papá perdedor ahora".
"Sabes qué, señor? Me siento tan mal para usted, ¿qué sucede si usted paga solamente por las entradas de adulto y voy a dejar a su hija en gratis hoy?".
"Wow, que es tan generoso de ustedes." Con una sonrisa me bifurcar sobre los $50 y le agradeció por toda su ayuda y le pide que salga de mi correo electrónico. Somos parte maneras con que yo tuviera una hija feliz y el parque de haber sido comprometida. Momentos más tarde mi pareja texto anunciada y me dijo que él estaba "en" y "recopilación" de datos para el informe. Después de disfrutar de unas horas de descanso, salimos del parque para volver a trabajar para compilar el informe para la reunión del lunes. SE APLICA el marco para el parque temático Hack La recolección de información, como se muestra en este estudio de caso, no siempre es mayormente basada en Web; en su lugar, esto puede hacerse en persona. La información en este caso más suculentas se recopiló durante una visita en persona. Averiguar qué sistemas informáticos fueron utilizados, sintiendo el target para saber cómo él o ella responder a determinadas preguntas, y saber cómo funcionaba el sistema de fichas eran los principales componentes de la etapa de acopio de información.
La verdadera lección de este truco es que un buen pretexto es algo más que una historia; es algo más que unos trajes confeccionados y falso acento. Un buen pretexto es algo que usted puede fácilmente "en vivo" sin demasiado esfuerzo. En este caso yo era fácilmente capaz de hablar, actuar y hablar el padre, porque yo soy uno de ellos. Mi preocupación acerca de cómo ser un "perdedor" papá era real, no compuesta, y viene a ser tan real y luego se transfiere al destino original. Esto hace que todo lo que se dice más creíble. Por supuesto, tener un lindo hijo en la distancia mirando con anhelo en el billete dama ayudado, y lo mismo hizo un argumento verosímil
sobre un hotel no funciona la impresora. Capítulo 2 referido a esto, pero a veces un ingeniero social promoverá que pretexting o ingeniería social, en general sólo es básicamente siendo un buen mentiroso. No creo que sea el caso. En un sentido profesional, pretexting implica la creación de una realidad que va a manipular las emociones del destino y las acciones a llevar a cabo una ruta que desee él
A TOMAR. Las personas no son a menudo motivados por una simple mentira. Un ingeniero social deben "ser", el personaje en el pretexto para un concierto, que es la razón por la cual, utilizando pretextos que son algo que usted puede seguir de cerca, vivir y actuar con facilidad es una buena idea. El pretexto de la "PDF software libre Giveaway" tenía un montón de espacio para el error. El pretexto era sólida, pero un rápido rechazo hubiera significado un par de días de retraso en el siguiente intento de ataque. También fue una suerte de "adivinar" que la misma versión de Adobe se utilizarían para toda la empresa y que el cajero particular elegí no había actualizado su particular versión de Adobe Reader para la más reciente edición, que tendría, en esencia, anulado mi los intentos de aprovechamiento.
La banca en la pereza no es inherente a la persona una apuesta generalmente me gusta tomar, pero en este caso no funcionó. A veces, la mejor apuesta es avanzar como si lo que están pidiendo es ya un hecho consumado. Esa actitud se promueve un sentimiento de confianza y llega a la meta de que lo que estás diciendo o haciendo es de fiar.
El uso de palabras y frases como "necesito tu ayuda…" es una herramienta muy poderosa, como se mencionó en el Capítulo 5. Los seres humanos intrínsecamente desea ayudarnos mutuamente, especialmente cuando se le preguntó. Cuando se le preguntó, completos extraños se destinarán a realizar esfuerzos extraordinarios para "ayudar" incluso, como en este caso, abrir un archivo desconocido de otra persona en la cuenta de correo electrónico. La súplica para ayudar a un "pobre Papá" obtenga su linda hija en el parque conducen a un sistema afectado. Una vez comprometida, el software que almacena toda la información de la tarjeta de crédito para cada huésped estaba abierta a un atacante. La capacidad de recopilar esa información con muy poco esfuerzo podría haber dejado el parque abierto a pérdidas masivas, pleitos y vergüenza.
Estudio de Caso 1 Top-Secret: Misión Imposible Cada ahora y entonces, mi colega y yo estamos involucrados en una situación o escuche una historia que nos encantaría ver convertidas en una película, pero por razones de seguridad no se nos permite escribir sobre o siquiera hablar de ella. Por esas razones, no puedo mencionar que estaba involucrado o lo que fue tomada en la historia
Que nos viene de un ingeniero social denominado "Tim". Objetivo de Tim era infiltrar un servidor que alberga la información que podría ser devastador si cayera en las manos equivocadas. El concreto de alto perfil empresa implicada había mucho que proteger. Cuando Tim fue contratada para obtener esta información de empresa sabía que tendría que poner toda la carne en el asador; este trabajo pondrá a prueba los límites de sus capacidades de ingeniería social.
El objetivo El objetivo es una organización de alto perfil con ciertos secretos corporativos que nunca debería ser revelado a sus competidores. Estos secretos tenían que ser custodiados en servidores que no tienen acceso al exterior y sólo se puede enrutar desde la red interna. Tim fue contratado para ayudar a la compañía a probar su seguridad contra una persona "renegados" para poder infiltrarse y salir con la mercancía. Tim se reunió a una persona de la empresa en una ubicación externa a firmar el Acuerdo funcionaron por teléfono y correo electrónico.
La historia Tim tenía un enorme desafío por delante de él. La primera etapa, como en cualquier concierto de ingeniería social, fue la recopilación de información. No sabiendo qué información él y no utilizaría, Tim pasó a todo vapor, recopilación de información, tales como el esquema de diseño de correo electrónico, solicitudes de presupuestos abiertos, todos los nombres de los empleados que pudo encontrar, además de los sitios de medios sociales pertenecen, documentos que escribieron y publicaron, eran parte de los clubes, así como a los proveedores de servicios que utilizan. Quería hacer un basurero bucear pero cuando él alcanza el lugar notó que la seguridad era muy fuerte en torno a la zona del contenedor. Muchos de los dumpsters incluso fueron encerrados en pequeñas zonas
amuralladas, así que él no podía ver el logo en el contenedor a menos que violó el perímetro. Después de encontrar el departamento que gestiona servicios de residuos, él decidió colocar un bien planeado de llamada telefónica a la empresa:
"Hola, soy Paul de TMZ la eliminación de residuos. Somos un nuevo residuo
Servicio en la zona y han trabajado con algunas de las grandes empresas de la zona. Soy parte del equipo de ventas que se encarga de su región. Puedo enviarle una cotización para nuestros servicios?
"Bueno, estamos muy contentos con nuestro proveedor actual, pero puede presentar un presupuesto". "Excelente; le ruego que sólo unas cuantas preguntas?" "Seguro". "Cómo muchos dumpsters tienes?" preguntó Tim. Después de preguntar si se utiliza papel especial para los dumpsters y tecnología, tales como las llaves USB y los discos duros, se sentó sobre unos toques finales.
"Qué día es el recogedor normal?". "Tenemos dos camionetas por semana; Set 1 es miércoles y jueves es Set 2". "Gracias. Puedo preparar este presupuesto y enviarlo a través de mañana por la tarde. E-mail ¿qué debo usar?". "Enviar a mí personalmente en
[email protected] ." En este punto un poco amable cháchara sobrevino y antes de que usted lo sepa se reían y de los saludos de rigor. "Muchas gracias. Hey, antes de colgar le pediría que se utilizan en la actualidad? Me gusta hacer una cotización comparativa". "Bien, usted sabe…" ella dudó, pero luego dijo, "Seguro, utilizamos Wasters Management". "Gracias a Christie, me aseguraré de que están contentos con el presupuesto. Hablaremos más tarde". Armado con esta información, Tim entró al sitio web de la empresa de gestión de residuos actuales y copiaron el logo en un archivo JPG. A continuación visitó una camiseta online impresora y en 72 horas tenía una camiseta con el logotipo en sus manos. Sabiendo que la basura se recoge el miércoles y el jueves quería ir el martes por la noche.
Él entonces otra llamada para el departamento de seguridad: "Hola, soy Juan de wasters Gestión, su eliminación en el contenedor de la gente. Me llamaron por Christie Smith's office indicando que tiene un contenedor dañado. Sé que el recogedor es el miércoles, así que quería
Venga y compruebe que mañana por la noche. Si hay una unidad dañada tendré la carretilla a sacar una nueva. Está bien si me sale el martes por la noche?".
"Seguro, déjeme verificar-sí, Joe es mañana. Cuando tire hasta detenerse en la caseta de seguridad y él te dará una insignia".
"Gracias". Al día siguiente, Tim llevaban su "Compañía" polo shirt y había un portapapeles. El pretexto fue el genio porque sabía las fechas y nombres internos. Ahora, con el aspecto de un empleado de la empresa, se acercó a la caseta de seguridad.
"Joe, Yo soy John de wasters y llamé ayer". La guardia interrumpida con, "Sí, puedo ver su nombre aquí." Él le entregó una insignia y un mapa en papel diciéndole cómo llegar a los dumpsters. "Necesita uno de nosotros persiguiéndolos?".
"Nah, yo hago esto todo el tiempo". Tim estaba borracho y condujo a los dumpsters. Armados con el pretexto perfecto y una insignia tuvo el tiempo para hacer la excavación. Él sabía que el Set 2 mantiene la no-comida basura, así que él comenzó su excavación. Después de un poco mientras él cargó unos cuantos discos duros, llaves USB, algunos DVDs, y algunas bolsas llenas de papel en su tronco. Después de una hora o así volvió, agradeció a los chicos de seguridad, y les asegura que todo está bien. Al volver a la oficina cavó a través de la "basura" y fue saludado con algunos de los detalles más suculentas que no podía haber encontrado en sus sueños.
Muchas veces, las empresas podrán disponer de discos duros y medios USB destruyéndolos por completo. Se borrarán todos los datos y, a continuación, enviarlos a unidades especiales de eliminación. Cada ahora y entonces, sin embargo, los empleados que no piensan a través de sus procedimientos de eliminación se acaba de tirar una llave USB dicen que está roto o una unidad de disco duro que ya no arranca. Lo que no saben es que hay muchos programas que pueden incluso datos fuera de banda no iniciable unidades y soportes. Incluso si el disco ha sido formateado, los
datos pueden todavía ser recuperado en muchas situaciones. Uno de los sacos contenía lo que parecía ser el contenido de una oficina. Como él se vació la bolsa notó algunos papeles que no habían pasado a través de la trituradora. Se sentó a leerlos y vio que era un contrato para
Algunos de los servicios de TI que salió a licitación. El trabajo iba a comenzar en pocos días, pero parecía que esta copia fue utilizada para remojar en algún café derramado y luego descarta. Esto sería un gran hallazgo, pero había mucho más para buscar a través de. Los DVDs se queda en blanco o ilegible, pero sorprendentemente se encuentra archivos en la memoria USB. A partir de esta información, descubrió los nombres y líneas privadas del CFO, así como otro personal clave.
El valor de lo que se reunió fue inmensa, pero quiero centrarme en lo que hizo a continuación. A la mañana siguiente, armado con el contrato para los servicios de TI en la mano y saber el tipo de trabajo que debía ser realizado, se colocó una llamada al punto de contacto del contrato durante la hora del almuerzo y rezó el contacto fue a almorzar.
"Hola, es Sebastián disponible?". "No, él se fue a comer. Puedo ayudarle?". "Este es Paul de XYZ Tech. Quería confirmar que nuestro equipo estará llegando a iniciar el proyecto mañana por la noche". "Sí, recuerde que no podemos tener ninguna interrupción del servicio, así que por favor no llegar antes de las 5:30 de la tarde". "Sí señor, usted lo tiene. Nos vemos mañana". Al día siguiente, Tim sabía que él no podría llegar con el resto del "equipo". Pero si él cronometrado derecho no sería capturado por la empresa o el destino. Sentado en el oscuro aparcamiento vio la compañía del contrato que llegan. Después de un buen 30 minutos se acercó a la puerta y me explicó cómo corrió para conseguir algunos trámites de su automóvil. Él consiguió zumbaba y ahora había reinado libre de la oficina.
Necesitaba hacer algún reconocimiento, y pensó que lo mejor era acercarse a la empresa como uno de los empleados internos. Él caminó alrededor hasta que escuchó algunas conversaciones y considerado uno de los chicos en una camisa, identificándolo como
uno de los equipo de TI. Armados con los nombres de los gerentes del nivel superior de la llave USB de archivos y desde el punto de contactos desde el contrato, comenzó, "Hola, soy Pablo y yo trabajo Sr. Shivaz [el CFO]-¿alguien explicar a usted acerca de la prod23 Servidor de producción?" Tim tenía el nombre de servidor de su información
Reunir, Tim supo que era el servidor estaba atacando. "Sí, sabemos que el servidor está fuera de los límites de este trabajo. El CFO nos explicó el cifrado y cómo estamos que no se metiera con ese servidor. Sin preocupaciones".
Después de unos minutos más de conversar, Tim ha descubierto algunas valiosas piezas de información: El equipo de TI no se va a tocar el servidor. El servidor ha cifrado completo de disco. Los técnicos fueron "escarchas" por la casa-tipo de TI sobre cómo la empresa objetivo utilizar un archivo de claves en una llave USB que sólo los administradores llevar. Tim sabía que este último punto haría su tarea más difícil, y porque los administradores no estaban, él no podría ser capaz de acceder al servidor ahora. Además, la seguridad física en torno a este servidor fue muy intenso y puede haber sido demasiado endurecido a asumir el riesgo. Hizo saber que los administradores tendrán acceso a este servidor de manera pensaba que quizás intentaría que avenue.
Visitó la primera oficina de la administración, pero fue bloqueado. Él revisó la segunda oficina y, después, la tercera. El tercero fue cerrado, pero no se habían cerrado todas las vías y sólo abre cuando él empujó un poco. Él estaba en. Cerrando las persianas y dejar las luces apagadas, sintió que sería un poco protegidas desde el potencial de ser atrapados. En su kit de ingeniero social llevaba una amplia variedad de herramientas y ropa. Una de las herramientas que él siempre tuvo con él sobre estos tipos de conciertos fue una llave USB que estaba cargado con una distribución Linux arrancable como BackTrack. En el BackTrack es instalar una versión precargada de Virtual Box, una máquina virtual de código abierto gratuito útil. Él cargó el admin del equipo mediante un puerto USB trasero, en BackTrack. Después estaba en retroceso, que conecta a sus propios servidores, a través de SSH, configurar una escucha y, a continuación, conecta a través de una shell inversa inició desde el administrador de la máquina. Entonces él comenzó un keysniffer (para registrar todas las
teclas presionadas en el ordenador) en BackTrack y configurar el archivo de registro que sean objeto de dumping a través de la conexión SSH a su equipo. Entonces él hizo algo verdaderamente pernicioso. Él abrió el Virtual Box y ha creado una máquina virtual (VM), utilizando la unidad de disco duro local como los medios físicos de inicio, y cargado de la VM. Automáticamente, se carga el perfil de usuario del administrador y del SO. En la pantalla de inicio de sesión se cargan en la VM
Modo de pantalla completa, se escondió de todos los bares, e hizo los hot key para salir VirtualBox algunos ridículamente largo combo. Esto protege al usuario de golpes equivocadamente que combo y revelando que se piratean. Aún existía un riesgo que podía ser capturado en cualquier momento utilizando este método de una llave USB trasero cargando una máquina virtual usando su propio disco duro, pero si funcionaba lo obtendrá cada pulsación el administrador ha escrito y un shell en el pobre chico el equipo de Tim, dando acceso a todo. Aunque la shell en la máquina virtual, estaría registrando todas sus pulsaciones de teclas y luego acceder a la máquina de la víctima capturada utilizando su nombre de usuario y contraseña. Tim hizo algunas otras cosas en la oficina, como por ejemplo, configurar una conexión en otra máquina, lo cual le dio acceso a la red de forma remota. También se creó un dispositivo de escucha remota, el tipo que utiliza un teléfono celular de la tarjeta SIM. Él podría llamar a su número desde cualquier teléfono en la tierra y escuchar conversaciones desde cualquier lugar en un radio de 20 pies.
Después de sólo unas pocas horas Tim dejó la compañía del destino y regresó a su oficina. Él estaba emocionado para ver si esta todo funcionó, pero él todavía tenía algunas ideas más para probar. Temprano a la mañana siguiente él se aseguró de que sus conexiones remotas seguían vivos y marcó en su oyente escuchar el zumbido temprano en la mañana de la gente que viene a la oficina. La previsión construido como él esperó para ver si la primera computadora registra venían a través de la captura, el nombre de usuario y la contraseña del administrador. Aproximadamente una hora más tarde, Tim experimentó algunos registros próximos a través. Él sabía que él no quiere hacer nada que pueda comprometer su conexión, así que esperó. Alrededor de las 12:15 los registros parado, por lo que descubrió el administrador debe estar en el almuerzo. Rápidamente se comprueba su shell inverso y comenzaron a crear un túnel desde la máquina del administrador del servidor a su equipo utilizando la contraseña que capturó en el administrador del servidor
Después de que el túnel estaba conectado hizo un mad dash para copiar todo lo posible antes de las 1:00 p.m. en ese momento él no noté ningún registros, así que llamó al oyente y escuchó a alguien preguntar, "¿Sabes cuánto tiempo esta reunión supone el pasado?". Calcular el administrador podría estar en una reunión que hizo otro intento en un
Transferencia de mayor tamaño. Después de unos 30 minutos notó alguna actividad para la recogida de datos se detuvo y decidió esperar hasta más tarde. Él no quería alertar al administrador para nada fishy pasando por ralentizar su conexión a través de una cesión. Él comenzó a tamizar lo agarró desde el servidor, sabiendo que golpeó el bote. Su trabajo aún no ha terminado todavía. Esa noche, él hizo una transferencia masiva, Teniendo tanto como él podría conseguir y luego se dirigieron a la oficina de la compañía de nuevo, su forma de ingeniería social como lo hacía antes. Una vez se dirigió a la oficina del administrador, que estaba bloqueado este tiempo y apretó cerrados. Él utilizó un empujón de cuchilla (ver el capítulo 7) para conseguirlo. Una vez dentro de él apagado la máquina virtual y, a continuación, reinicia el equipo después de quitar la llave USB, y luego salió de la oficina del administrador de la manera que él lo encontró. Él recogió su oyente y se aseguró de que sus canciones han sido cubiertos.
Él salió del edificio para volver a su oficina y compilar sus conclusiones. Por supuesto, en el informe reunión caminó con una pila de documentos impresos y un disco duro lleno de lo que era capaz de copiar. Esto fue suficiente para dejar caer las mandíbulas de cada persona en la habitación.
SE APLICA EL MARCO PARA Top Secret 1 Esta historia ofrece muchas lecciones. Es un ejemplo perfecto de una ingeniería social. Puede resumirse como la práctica, preparación y, por supuesto, la recopilación de información. Todas las destrezas que utiliza podemos imaginar que él practica, el uso de un empujón la cuchilla y la creación de túneles para pretexting eficaces y recopilación de información. No puedo sino reiterar lo suficiente la importancia de la recolección de información. Sé que lo he dicho mil veces, pero todo este acuerdo habría caído a través sin Tim tengan la información adecuada. Preparados por medio de llamadas telefónicas y visitas in situ, y
tener el hardware adecuado, que llevaron al éxito. Analizando este truco, puedes ver algunos de los principios fundamentales de la ingeniería social en juego. Tim era un maestro en la recopilación de información, utilizando recursos de la web para tirar todo tipo de pepitas, experto de la obtención habilidades mientras en el teléfono, así como la magistral de persuasión en persona. Estas técnicas le permitieron
Recopilar datos que probablemente habrían sido dejados por un hacker no calificados. Recopilación de información de la fundación Tim dio por qué tipos de pretextos y preguntas a desarrollar. Buceo el contenedor fue planeado con precisión quirúrgica. ¿Existe la posibilidad de que hubiera sido dejar sin la camisa y cita? Seguro. Pero cuánto más poderosa fue la manera en que lo hizo? Él nunca dejó una duda en sus mentes y él permitió que cada persona que interactuaba con ir sobre su negocio y nunca se lo piensen dos veces. Ese es el pretexto perfecto, cuando una persona puede interactuar con usted sin ningún tipo de banderas rojas o señales de advertencia. Tim hizo eso y le daba libertad para moverse como si él pertenecía. La mejor parte de la historia es lo que sucedió después de que él consiguió en el edificio. Tal un gran margen de error existe, y él podría haber sido capturado tantas maneras. Seguro que él podría haber rodado, agarró los datos del servidor, y la izquierda, y probablemente nadie habría detenido, pero hacerlo como lo hizo él significó que la empresa nunca supo cómo sus secretos salió y nunca habría sabido que estaba comprometida. Tim tomó un enorme riesgo cuando dejó el equipo del administrador que ejecuta una VM. Esa maniobra podría haber fallado en muchas maneras. Si alguien jamás ha reiniciado el ordenador o que se había estrellado, o si por error el administrador pulsa esa tecla combo loco, podría haber significado el fin para el hack y alertó a la empresa que se había comprometido. Yo podría haber tomado un diferente, menos arriesgados, una ruta donde yo podría haber creado un túnel inverso desde su ordenador a mis servidores utilizando un EXE personalizado que no serían detectados por el software antivirus y en los scripts de inicio del ordenador, algo que con menos posibilidades de fracaso, pero el método de Tim tuvo el instinto de ser un truco de ingeniería social muy sexy. Probablemente más de una lección puede ser aprendido de esta particular hack, pero en todo caso, el viejo adagio de hackers "confiar en nadie" puede aplicarse en cierta medida. Si alguien llama para decir que Christine autorizó una inspección del contenedor y no oír de ella o un memo, su llamada y preguntar. Gire los ordenadores por la noche y sin
duda hacer su importante máquinas no pueden arrancar desde USB sin una contraseña.
Seguramente estas precauciones adicionales significará más y más carga de trabajo
Veces. Si vale la pena hacer depende de cómo los datos importantes que se sitúa detrás de esas máquinas. En este caso, los datos se pueden arruinar esta compañía, por lo que la protección debería haber sido extrema. Aunque la compañía tuvo muchos y excelentes precauciones, como el uso de cifrado de disco completo, cámaras, cerraduras biométricas, y así sucesivamente alrededor de la área de servidor, no se fijan los equipos a los que ha tenido acceso a los datos más importantes, y eso es lo que llevó a la desaparición de la empresa.
Estudio de Caso 2 Top-Secret: Ingeniería Social un hacker
El pensamiento fuera de la caja y tener que pensar rápido es estándar para un ingeniero social, por lo que es raro en una situación que serán un reto para el profesional ingeniero social hasta el punto de estar paralizada. ¿Qué sucede cuando un probador de penetración está llamado a poner en un sombrero de ingeniería social sin previo aviso? Esta cuenta siguiente muestra exactamente lo que ocurre cuando se produce esta situación. Es un buen ejemplo de cómo tener ciertos conocimientos de ingeniería social practicado de antemano puede ser muy útil cuando se llama a utilizarlos sin previo aviso.
El objetivo "Juan" fue llamado para una prueba de intrusión de red estándar para uno de sus clientes mayores. Era un no-emociona pentest como ingeniería social y un trabajo in situ no fueron incluidos en el esquema de auditoría. Sin embargo, disfrutó de la labor de probar las vulnerabilidades de las redes de sus clientes. En este particular pentest nada realmente emocionante que estaba ocurriendo. Él estaba haciendo sus rutinas normales de análisis y datos de registro y probando ciertos puertos y servicios sintió podría
darle un plomo dentro. Cerca del final de un día corrió un análisis utilizando Metasploit que reveló un abierto, un servidor VNC que permite el control de otras máquinas en la red. Esta es una agradable encontrar, porque el conjunto de la red fue bloqueado por lo que este tipo de fácil es especialmente bienvenida. Juan estaba documentando el hallazgo con la sesión abierta de VNC, cuando
De repente en el fondo el ratón comenzó a moverse por la pantalla. Esto era una enorme bandera roja, porque con este cliente en este momento del día, ningún usuario debería estar conectado y utilizar el sistema para un propósito legítimo.
¿Qué puede estar sucediendo? Él notó que en lugar de actuar como un administrador o un usuario normal, esta persona no parecían ser muy conocedor del sistema. Sospechaba que había un intruso no deseado en la red. Él no quiere asustar al intruso lejos pero quería saber si era un administrador u otro hacker que encontró su camino en el mismo sistema.
Rápidamente pasó a ser el destino de la empresa, fue contratado para pentest a un pícaro hacker dentro de la organización. La historia Juan decidió rápidamente que él tendría que ingeniero social este hacker y obtener tanta información como sea posible para ayudar a proteger a su cliente. Él realmente no tiene tiempo para pensar en cada paso y planificar adecuadamente. Él no tiene tiempo de hacer la recopilación de información apropiada. Él toma un riesgo grande y abre el Bloc de notas. Él desarrolla rápidamente el pretexto de que él es un "n00b" hacker, un novato, alguien inexperto, y encontró este cuadro abierto y es hacking, como este chico. Él fue capaz de obtener algunas capturas de pantalla de la conversación. Eche un vistazo y observe cómo el pentester tuvo que ingeniero social el
hacker, tal como se muestra en la Figura 8-1 . John inicia la conversación y cada otra línea es el hacker.
Figura 8-1: Una captura de pantalla real del evento.
Siguiente es la transcripción literal de la conversación que tuvo lugar. Es largo, y todos los errores tipográficos y jerga aparecen en el original, pero la transcripción muestra exactamente lo que sucedió en este truco. John habla primero. Whats up? Jeje, simplemente mirando alrededor de sí, yo también. Algo bueno?
Eres un "hacker" también? U fue simplemente buscando servidores VNC no segura U=I Yo estaba buscando forsomething fácil. Esto fue fácil. ;)
puedes ver nada en esta red? Esta es la única que tengo.
No encontré nada de interés aquí, la mayoría de los asegurados es bastante bueno. Sí, fácil de acceder, pero quiero tener privilegios de administrador... :D Sí, sería fácil desde aquí. Sólo un priv elev. Estoy interesado inwhat más está aquí. ¿Qué es este spreedsheet que siempre está arriba? No tengo idea, fue heere cuando he entrado, yo no hav alrededor mucho. Este equipo encontró hace 2 horas tal vez. ¿Qué acerca de usted? He
tenido
durante
aproximadamente
una
semana.
Apagado
y
encendido. Simplemente no hacer nada con ella. Tipo de perezosos. ¿Cuál
fue
tu
archivo
de
prueba
rápida
de
compartir?Acabo
de
cadenas de dumping sobre ella y no reconize nada.
Cool. Así, el archivo fue simplemente una prueba que hice, estaba tratando de ver si podía obtener un servidor (troyano) en funcionamiento. Pero el firewall no lo permite. Lol. He tenido el mismo problema. Hice metasplit shell y noVaya. Por eso seguí con esto. En los Estados Unidos? O fuera del país? Sé que algunas personas en Dinamarca. Soy de Noruega en realidad, jeje, tengo familiares en Dinamarca.
Usted cuelga en todas las placas? Como he utilizado como algunos, pero han ido lejos Principalmente me cuelgan en algunos consejos de programación, pero no mucho más. Has estado en hacking por un largo tiempo o qué? ¿Cuál es tu edad btw? Tengo 22. He estado en esto por divertidas de alrededor de un año o así. Todavía en la escuela. 16. Algo para hacer. Usted nunca vaya a evilzone? No he estado allí. Yo también hacerlo principalmente por diversión, intentando
Ver
lo que
puedo
hacer,
probar
mis
habilidades. Yo
escribí
el
"VNC
Finder" BTW, yo he encontrado una gran cantidad servidores, pero este es el único donde pude divertirme
de
Wow. ¿Qué es lo que escribe? Puedo dl? ¿Tiene usted un mango? Está escrito en un lenguaje llamado PureBasic es un poco, pero no está listo para el lanzamiento, sin embargo, es sólo para mi uso propio. Pero tal vez yo pueda compartir de todos modos, me podría cargar
el
código
en
algún
lugar
y
permiten
A compilarlo. Es decir, si usted puede encontrar algunos PureBasic compilador en algún sitio de warez :P Thats cool. Puede colocarlo en ese sitio pastebin de IRC. Que permite anon post no he hecho purebasic antes. sólo python y perl Déjame ver, voy a buscar ese sitio pastebin y cargarla, solo me dan unos minutos, voy a estar alrededor. Ok cool! ¿Tienes un asa?Me voy por jack_rooby Asa, para qué? No puedo chatear en el irc mucho ni nada que se le parezca, pero me puede dar un correo electrónico puede reah en mí.
Thats cool. Me refiero a manejar como por irc y boardz y el Tales. heay correo electrónico funciona demasiado. Sí, en la junta de programación comparto mi nombre Quizá completo, etc. s Corre o Dema elect siad Compa Todav rónic No o Smart A rtir Sólo ía. Mi o Es:
[email protected] Enviarme un mensaje o lo que sea y puedo agregar en el msn, tal vez.
Le enviaré una nota. Es bueno tener a alguien que puede programar para saber este tipo de cosas para cuando me quedo atascado o encontrar algo bueno Jeje, sí, podríamos tener un equipo :P Cool! Avísame cuando hizo el pastebin http://pastebin.ca/1273205 Btw... eso es algo muy en la etapa "alfa", la GUI no está realmente terminado. pero se puede configurar a través de algunos viariables. Cool. Voy a probarlo y ver lo que puedo hacer con ella. Gracias por compartir. Si hago algo guay, debo enviarle por
correo electrónico? Sí, por favor. Si se ejecuta este programa para algunas horas, usted encontrará una gran cantidad de servidores, incluso he intentado hacer algún código para detectar servidores que no tiene seguridad e incluso algunos que tiene un bug que puede dejarle entrar incluso si no tiene una contraseña. Estos servidores se muestran en el resultado (la ficha "encontrado") como "inseguros". Pero a veces se hace un error y dice que algunos son inseguros que son
No, pero que no muchos, es sólo para ponerlos a prueba. Wow. He visto algunos otros servidores vnc aquí también, pero todos querían contraseñas. No nos quedemos en la herramienta para que? Sólo muy pocos tiene el bug que puede dejarle en, pero debe utilizar el cliente especial para ellos, más info aquí btw: http://intruderurl.co.uk/video/ Descargue el archivo zip. Olol, k soI wrry
Lo sentimos. Ok, voy a dl que y eche un vistazo. Eso es cool. No escribir el backdoor desde rapid share? O ¿tienes que desde algún lugar? Yo intento escribir la mayor parte de mis herramientas, de esta manera yo aprendo. Así que sí, lo escribí yo, pero no se terminó, yo estaba solo quiero ver si puedo ejecutar un servidor, pero no doo nada todavía, jeje. Yo veo. I especie de dio para arriba, pero pensé que me gustaría volver y probar algunos más.Me imagino que tiene que haber algunas cosas, pero no tengo una botnet de myown usar, este chico llamado Zoot54 trató de venderme uno, y algunas personas avalada por él, pero yo no confíe en él de todos. Y no sé cómo escribir mis propias herramientas en todas las demás entonces algunos Perl y Python que no funcionan para la mayoría de los hosts de Windows como este, así que he sido tryingthe metasploit sino obtener el error
de
firewall.
¿Tenéis
planes
para
esto?
Como
algo
interesante que hacer? O simplemente moveon a la siguiente? Perl y Python es un buen comienzo, por cierto, no he estado usando yo, pero cuando usted sabe que algunos idiomas puede aprender fácilmente más :P quizás debería dar PureBasic intentarlo, realmente es muy fácil. Jeje, un bot-net sería cool, yo estaba pensando en hacer uno, pero es un poco difícil hacer se extendió, al menos en Vista. Pero nah, no puedo renunciar a este servidor sólo, sin embargo, tengo que tratar algunos más, tiene que haber una manera de obtener más privilegios ;D thast cool.
Usted puede tener el servidor como he tenido un rato y no saber qué hacer a continuación. Déjame saber lo que están haciendo si
Se lo puedo aprender algo más. Que se enfríe. ¿Tienes un myspace o facebook o algo? O simplemente utilizar el e-mail? El correo electrónico funciona por ahora, cuando yo confío en usted más tal vez yo puedo añadir que en facebook, no tengo myspace. Sí, voy a mantener actualizado :) Cool que funciona para mí. ¿Tienes un shell o tienes esta misma GUI? Es sólo una conexión múltiple vnc?
Sí, acabo de utilizar ThightVNC o lo que sea, y el hecho de no desconectar a otros usuarios. No soy un fan de shell realmente, jeje :S fresco. Cuando obtengo un shell un montón de veces me pone error tand dissconnect sobre accidente Bueno
que
no
me dissconnect
Yo "maldita sea, el Aquí", hehehe...
:D
BTW,
cuando
estaba jugando administrador
vi por
primera
vez
como
Hah, no busqué la zona horaria y están en el centro de los EE.UU., de manera que está en el medio de la noche para ellos. Sí, yo hice la misma cosa. Incluso hizo una prueba de velocidad de la conexión a internet, jeje.parecen tener velocidad de carga más rápido que la velocidad de descarga, extraño... Pero práctico para un ataque DoD quizás.
DoS, quiero decir. Me extraña
woner
qué
tipo
de
línea
es
su
dice
que
desde
Co., lo cual me pareció un nombre divertido.. ¿Alguna vez obtener cualquier otros sistemas aquí? Yo vi un servidor wonce warez, pero eso fue hace mucho tiempo y se ha ido ahora. No he encontrado ningún otro sistema. Pero me gustaría seguro como para tener acceso a todos los equipos de la red tienen... maldita muchos, es algún tipo de universidad. Jeje, me imprimió "hello world" hoy en día
anterior. Haha ¿enviarlo a una impresora o a la pantalla? Estas personas estarían más likkely freak out si ellos vieron el ratón mooving inicio sobre ellos en la mitad del día con el tht weird hoja de cálculo Haha, VNC
probablemente
woold,
pero
qué
tonto
idiotas
runds
un
Servidor sin contraseña?! Imprimí algunas impresoras, espero que alguien lo vio.
de
las
Haha eso es cierto, yo apuesto som.. así que no puedo ejecutarlo con admin privs derecho? Por lo que no puede ser sólo algunos usuarios que sí
Él, alguien con admin tendría que hacerlo o de lo contrario nuestra backdoors debería trabajar en ella y no les van a todos. ¿O usted piensa que algunos uno acaba de cambiar la config? Hmm, bueno, creo que tienes razón, quizás algún admin o bromista. Puede hacer este trabajo para vivir? Sigo oyendo puede hacer dinero con él, y creo que si hago esto por un tiempo y llegar a ser bueno yo podría ser capaz de conseguir un trabajo con él. Eso es lo que hice? He ganado dinero en la programación, pero nunca en el hacking o cuestiones de seguridad. Pero eso es una buena idea, la gente pagaría para conseguir su seguridad probada y si conseguimos
suficiente
probablemente
podríamos
ganar
mucho
de
esta manera.
Eso es lo que espero. Me compré un libro sobre la ética hacker y creo que tienen algunos buenos programas en allí. No sé cuál es la edad para tomar el examen, pero si me hacen considerar que podría ser un buen comienzo para hacer este trabajo. Y hay algunas buenas herramientas como el metasploit. Usted debe tomar un vistazo si aún no lo ha hecho todavía. Sí, gracias, debo verificar esto :) Pero estoy un poco cansado ahora btw, jeje. No puede sentarse aquí charlando en el bloc de notas sangrientas todo el día, hehehehe. Así cya hombre, más tarde te encuentro fresco, muy divertido. Sí, me asusté cuando vi el rápido compartir en la pantalla. Cool para satisfacer tu y yo e-maiul y permiten conocer cómo funciona el programa. El Tht es emocionante para intentar que fuera y ver qué pasa. Usted estar seguro y no les gustan los chicos malos encontrar! Jeje, gracias, lo mismo para ti btw! :) Esto es interesante, creo que voy a
guardar este registro notepad btw, me dan un seg,lol...
Allí, lol, lo siento adiós Bye
Este chat revela cuán rápidamente Juan tuvo que pretexto y convertirse en alguien. Esta no es una tarea fácil, ya que normalmente se tarda un montón planeando, sino para asegurar su cliente y averiguar quién era este intruso tuvo que desempeñar cualquier función que el "hacker" se iba a poner en él. Al final, John terminó obteniendo su foto, correo electrónico e información de contacto. Él informó de este intruso malintencionado a su cliente y el problema fue resuelto a no permitir ese reinado libre dentro y fuera de sus sistemas. Este top-secret caso demuestra cómo la ingeniería social utilizada en un sentido profesional puede ir un largo camino hacia la protección de los clientes. SE APLICA el marco para el Estudio de Caso 2 Top Secret Lo que me parece interesante en esta cuenta es cómo la compañía no era realmente un objetivo para los hackers. Simplemente estaba explorando el Internet para "frutos bajos" y eso es exactamente lo que encontró. Abrir máquinas con acceso completo son peligrosas y esta cuenta muestra cuánto daño podría haber ocurrido si el probador de plumas no estaba sentado allí en el momento justo. Hay, por supuesto, uno puede aprender mucho acerca de la ingeniería social de esta historia, demasiado. John no ha entrado en este proyecto con la idea de utilizar sus habilidades de ingeniería social. En lugar de eso fue un recto pentest. A veces son llamados a usar tus habilidades sin ser capaces de planificar primero.
Lo que podría haber permitido a Juan para ser capaces de hacer esto sin tener que volver a casa y tener una sesión de práctica? Lo más probable es que estas habilidades fueron algo que John utilizada diariamente o que al menos se practica, a menudo lo suficiente como para hacerle ágil en su uso de ellos. La lección principal en este estudio de caso es probablemente la práctica hace la perfección. Desde un punto de vista realista, John podría haber enfrentado el hacker, le dijo que era un admin y que estaba conectado, y que su vida había terminado. Todo tipo
de amenazas podrían haber volado atrás y adelante, y él podría haber intentado utilizar el miedo como su principal táctica. Lo más probable es que el hacker podría haber huido de la escena sólo para volver más tarde e intente formatear el sistema o hacer incluso más daño a cubrir sus huellas. En su lugar, pensar muy rápido, John fue capaz de cultivar un montón de información útil sobre su destino. John utiliza posteriormente el objetivo del e-mail y nombre y una buena
Copia de Maltego para obtener una imagen muy clara de las actividades de este individuo. Otra pequeña lección uno puede aprender desde el análisis de esta historia es cómo ser
El líquido. Lo que quiero decir es que aprender a ir con el flujo. Cuando John comenzó "recopilación de información" desde el hacker que realmente no sabía si esta persona era un hacker o un admin. John's en la primera línea, "Hey What's up", podría haber sido contestada por el atacante en muchas maneras. Sin saber exactamente la respuesta que obtendría, John no tuvo tiempo para realmente preparar. Había que intentar utilizar jerga técnica y reaccionar de la manera que él imaginaba un hacker.
John tomó incluso un paso más allá. Consciente de que la mejor vía era un sumiso, Juan puso en el pretexto de un "n00b", o los nuevos hacker que no sabía mucho, y queríamos un maravilloso y verdadero hacker inteligente para educarlo. Alimentar el ego del pirata, John llegó a derramar su coraje sobre todo tipo de cosas, incluyendo toda su información de contacto e incluso una imagen.
¿Por qué son importantes los estudios de caso Estos estudios de caso, son sólo algunas de las historias que están allí, y estos son, de lejos, no es el más temible. Cada día los gobiernos, centrales nucleares, multimillonaria corporaciones, tendido eléctrico, e incluso países enteros caen víctimas de ataques de ingeniería social maliciosa, y que ni siquiera se incluyen las historias personales de fraudes, robos de identidad y robos que se producen por minuto. Tan triste como leer todas estas historias es una de las mejores maneras de aprender es mediante la revisión de estudios de caso. Expertos de todos los campos utilizar esta metodología. Psicólogos y médicos revisar incontables horas de cintas y entrevistas para el estudio de la gente usa microexpressions al sentir ciertas emociones.
La persuasión expertos revisar, analizar y estudiar las cuentas de positivo y negativo de la persuasión. Ello les ayuda a recoger las esferas sutiles que afectan a las personas y ver cómo se pueden utilizar para aprender y para proteger a sus clientes. Comentarios estudios de caso de aplicación de la ley como parte de su vida cotidiana para aprender qué es lo que hace que una garrapata penal. A lo largo de esas líneas, los investigadores penales
Analizar y diseccionar cada aspecto de una persona maliciosa, incluyendo lo que come, cómo se interactúa con los demás, lo que piensa y lo que le hace reaccionar. Toda esta información les ayuda a comprender realmente la mente del criminal. Estos mismos métodos se lo profesional profilers target y atrapar a los "chicos malos". De la misma manera, los ingenieros sociales profesionales aprender mucho por estudiar no sólo sus propios estudios de caso, sino también los casos en su propia práctica y cuentas malintencionadas que pueden encontrar en las noticias. Mediante la revisión de estudios de caso un ingeniero social puede realmente empezar a ver la debilidad de la psique humana y por qué las tácticas en el marco de ingeniería social tan fácilmente. Es por eso que he estado trabajando duro para asegurarse de que el marco de Www.social-engineer.org incluirá web actualizado historias y estudios de caso que puede utilizar para mejorar tus habilidades.
Al final, todas estas hazañas trabajado porque la gente está diseñado para ser fiable, tener niveles de compasión, empatía y un deseo de ayudar a los demás. Estas son cualidades que no debemos perder como tenemos que interactuar con nuestros compañeros seres humanos cada día. Pero, al mismo tiempo, estas cualidades son las mismas cosas que son más a menudo que no sean explotados por los ingenieros sociales malintencionados. Puede parecer que estoy proponiendo a cada uno de nosotros para convertirse en una criatura emotionless endurecidos, que anda como un robot. A pesar de que definitivamente le mantiene protegido de la mayoría de los intentos de ingeniería social, harían la vida aburrida. Lo que estoy proponiendo es consciente, educada y preparada.
Resumen Seguridad a través de la educación es el mantra de este libro. Sólo cuando
son conscientes de los peligros que existen, sólo cuando sepa cómo el "criminal" piensa, y sólo cuando esté listo para buscar ese mal en el ojo y abrazarlas puede proteger verdaderamente a sí mismo. A tal fin, el capítulo final de este libro analiza cómo prevenir y mitigar los ataques de ingeniería social.
Capítulo 9
Prevención y Mitigación
Los capítulos anteriores muestran todos los métodos y maneras que los ingenieros sociales objetivos de estafa y engañar a divulgar información valiosa. También se describen muchos de los principios psicológicos que los ingenieros sociales utilizan para influenciar y manipular a la gente.
A veces, después de dar un discurso o una capacitación en materia de seguridad, la gente mirará muy paranoica y asustada y decir algo como, "Sólo parece no hay esperanza siquiera intentar la seguridad. ¿Cómo puedo hacerlo?". Esa es una buena pregunta. Promuevo el tener un buen plan de recuperación ante desastres y plan de respuesta a incidentes, porque hoy en día parece que no es una cuestión de "si" usted será pirateado, sino "cuándo". Usted puede tomar precauciones para darle al menos una oportunidad de pelear en la seguridad.
Mitigación de ingeniería social no es tan fácil como garantizar la seguridad de hardware. Con la tradicional seguridad defensiva puede tirar el dinero en sistemas de detección de intrusos, cortafuegos, programas antivirus y otras soluciones para mantener la seguridad en el perímetro. Con la ingeniería social no existen sistemas de software que puede adjuntar a tus empleados o a ti mismo para permanecer a salvo. En este capítulo presento el top seis pasos que yo digo a mis clientes que pueden tomar para prevenir y mitigar los intentos de ingeniería social:
Aprender a identificar los ataques de ingeniería social La creación de un programa de concienciación en
seguridad personal Crear conciencia del valor de la información que está siendo buscado por los ingenieros sociales Mantener el software actualizado desarrollar scripts
Aprendizaje a partir de las auditorías de ingeniería social Estos seis puntos todos se reducen a crear una cultura de concienciación sobre la seguridad. La conciencia no es de seguridad unos 40-, 60-, o 90 minutos una vez cada año. Se trata de crear una cultura o un conjunto de normas que cada persona está comprometida a utilizar en su vida entera. No se trata sólo de trabajo o sitios web que se consideran "importante", pero es la forma en que uno se aproxima a ser seguro como un todo.
Este capítulo cubre los seis puntos mencionados y cómo crear una cultura de concienciación de seguridad puede ser la mejor defensa contra un ingeniero social malicioso. Aprender a identificar los ataques de ingeniería social La primera etapa en la prevención y mitigación de ingeniería social es aprender sobre los ataques. No tienes que bucear tan profundo en estos ataques que sabe cómo crear archivos PDF malicioso o crear el perfecto const. Pero la comprensión de lo que sucede cuando se hace clic en un PDF malicioso y qué señales buscar para determinar si alguien está tratando de engañar a usted puede ayudar a protegerse. Usted necesita entender las amenazas y cómo se aplican a usted.
He aquí un ejemplo: Si el valor de su casa y las cosas, pero especialmente a las personas en su hogar. No espere a tener su primer incendio para averiguar cómo planear, prevenir y mitigar su peligro. En lugar de instalar detectores de humo y planear una ruta de escape en caso de incendio. Además, usted puede enseñar a los hijos con la frase, "Parar, caer y rodar" si están en el fuego. Que les enseñe a tocar la puerta para calentar y a permanecer bajo para evitar la inhalación de humo. Todos estos métodos son formas de prevenir o prepararse para un incendio antes de que haya un incendio real y tener que lidiar con la devastación que trae. El mismo principio se aplica para proteger a usted y a su empresa de los ataques de ingeniería social. No espere a que se produjera el ataque
para aprender acerca de cómo pueden ser devastadoras. No creo que soy egoísta, pero yo promover auditorías de ingeniería social para probar periódicamente a sus empleados la capacidad de resistir estos ataques, y el seguimiento de la capacitación.
Enseñar a usted y a sus empleados cómo "Parar, caer y rodar", por así decirlo, cuando se llega a estos tipos de ataques. ¿Cuáles son las últimas noticias sobre cómo los ingenieros sociales están atacando a las empresas? Sabiendo que ellos pueden ser una primera línea de defensa, al igual que saber lo que un incendio puede hacer para su hogar. Conocer los diferentes métodos que los ingenieros sociales modernas y ladrones de identidad. Usted puede encontrar un archivo de noticias y ejemplos de los ingenieros sociales, estafadores, ladrones de identidad y similares en www.social-engineer.org/framework/Social_Engineering_In_The_News . Otro gran paso es la lectura de este libro. Está lleno de todos los métodos y principios que los ingenieros sociales utilizan para manipular a sus objetivos. Este libro es algo más que una recopilación de historias y maravillosos hacks; ofrece un análisis del pensamiento y de las tácticas utilizadas por el ingeniero social malicioso. También echa un vistazo a los vídeos en el sitio Www.social-engineer.org, en el área de recursos, que demuestran explota en acción. El usuario promedio no tiene que ver con la intención de entender cómo llevar a cabo estos ataques a sí mismo, sino para entender cómo se lleva a cabo el ataque.
Básicamente, cuanto más sepa acerca de cómo estos ataques ocurren, más fácil se puede identificar en la "salvaje". Ser consciente del lenguaje corporal, expresiones y frases utilizadas en un intento se hará tus oídos alégrate cuando oye o ve a alguien utilizando estos métodos.
Usted no necesita gastar toneladas de tiempo aprendiendo SE métodos. Sin embargo, dedicar unos minutos ahora y luego de leer las noticias y la lectura de cuentos sobre Www.social-engineer.org u otros sitios puede ayudarle a ver los métodos que se utilizan en la actualidad contra las empresas.
Después de que usted tiene una buena base de conocimientos y una auditoría bajo su cinturón, el siguiente paso, creando una mentalidad de seguridad cultura, parecerá fácil de desarrollar. Crear una cultura de concienciación sobre
seguridad personal En julio de 2010 yo era parte de un pequeño equipo de profesionales de la seguridad que ofreció una de las primeras organizadas y de nivel profesional de ingeniería social concursos en Defcon 18. Algunos de los mejores y más brillantes mentes de todo el mundo
Llegado a Las Vegas, Nevada, una vez al año para hablar, enseñar y aprender. Mi equipo y yo decidimos que sería una gran oportunidad para celebrar un concurso que mostrase si la América corporativa es vulnerable a este vector de ataque (respondiendo a un "Concurso"). Hemos organizado el concurso por tener gente interesada inscríbase para participar en dos etapas de la ingeniería social: recopilación de información y ataques activos. Para mantener la moral y legal del concurso no queremos cualquier persona víctima, ni números de seguridad social, tarjetas de crédito, y ninguna información de identificación personal serían recogidos. Nuestro objetivo no era obtener cualquiera de estas personas dispararon. Además, nuestro objetivo no era avergonzar a ninguna empresa en particular, por lo que decidimos no también contraseñas u otra información relacionada con el personal de seguridad de las empresas. En su lugar hemos desarrollado una lista de aproximadamente 25-30 "banderas" que iban desde si la empresa tenía una cafetería interior, que gestiona sus residuos, a qué tipo de navegador que utiliza, y qué software se utiliza para abrir los archivos PDF. Por último, elegimos compañías objetivo de todos los sectores de negocios en el mundo corporativo de Estados Unidos: las empresas de gas, las empresas tecnológicas, fabricantes, minoristas, y todo lo que hay entre ellas. A cada participante se le asignó una empresa objetivo en secreto, en el que ha tenido dos semanas para hacer acopio de información pasiva. Eso significaba que los concursantes no se les permitió ponerse en contacto con la compañía, enviar correos electrónicos, o de cualquier manera tratar de ingeniero social información fuera de ella. En vez de eso, se ha de usar la web, Maltego, y otras herramientas para recopilar tanta información como sea posible y escriba todo lo que encontró en un informe de aspecto profesional. A partir de la información recopilada que queríamos concursantes para desarrollar un par de posibles vectores de ataque que pensaban que iba a trabajar en el mundo real. A continuación, los concursantes tenían que venir a Defcon en Las Vegas, sentarse en cabinas insonorizadas, y hacer una llamada telefónica de 25 minutos con su objetivo de aplicar su vector
de ataque y ver qué información podían obtener. Yo podría pasar los próximos 20-30 páginas que indica lo que ha sucedido en ese concurso y cuál fue el resultado, pero una cosa que encontramos fue el siguiente: Cada concursante obtuvo información suficiente de los objetivos que la compañía habría fallado una auditoría de seguridad. Independientemente del nivel de experiencia de los concursantes y el pretexto, los concursantes fueron exitosas en el logro de sus objetivos. Para un informe completo acerca de la CTF y qué ocurrió,
V i s i t www.social-engineer.org/resources/sectf/SocialEngineer_CTF_Report.pdf . Ahora a lo que se aplica aquí, sensibilización en materia de seguridad. Las empresas que se preocupan por la seguridad tienen programas donde entrenan a sus empleados para que sean conscientes de los riesgos potenciales de seguridad a través del teléfono, Internet o en persona. Lo que descubrimos fue que la concienciación sobre seguridad en estas empresas fue en la fase del fallo. ¿Por qué? ¿Cómo puede ser que estas compañías Fortune 500 que gastan millones o más en la seguridad, la formación, la educación, y servicios diseñados para proteger a sus empleados podrían estar fallando en conciencia de seguridad? Ese es mi punto en el título de esta sección no es la conciencia de la seguridad personal de los empleados. A menudo, en mi práctica profesional cuando hablo con los empleados acerca de sus sentimientos acerca de un ataque responden con algo como, "No son mis datos; ¿qué me importa?" Esta actitud demuestra que la conciencia de la seguridad que estas empresas estaban intentando inculcar nunca ha llegado a casa; no era importante, eficaz, y lo que es más importante, no personales. En la revisión de gran parte del material y los métodos disponibles para los llamados sensibilización en materia de seguridad, lo que he encontrado es que es aburrido, tonto, y no está orientado a hacer el participante interactuar o pensar. Breves presentaciones de DVD que cubren un montón de cosas en un enfoque de escopeta que blastos del participante con un montón de pequeños hechos no están diseñados para hundir a demasiada profundidad. ¿Qué le desafío a hacerlo como una empresa o incluso como un individuo es crear un programa que conecta, interactúa, inmersiones y profundamente en la conciencia de la seguridad. En lugar de decirle a sus empleados por qué tener largas y complejas contraseñas es una buena idea, mostrarles cómo rápidamente se puede romper una contraseña fácil. Cuando me pidieron que les ayudara a realizar cursos de concienciación de seguridad para un cliente, a veces me pregunte a un empleado para venir a mi equipo y escriba una contraseña que ella siente es segura. Puedo hacer esto antes de divulgar cualquier información acerca de las contraseñas. Entonces como puedo iniciar mi presentación en esa sección
empiezo un cracker contra esa contraseña. Normalmente dentro de un minuto o dos la contraseña está agrietado y me revelan a la habitación la contraseña que fue secretamente tecleadas en mi pc. Inmediata y drástica el efecto que tiene sobre cada persona tiene un impacto extremo. Pero después de numerosas manifestaciones como que los empleados vayan a comentar cómo ahora entienden cuán serio tener una buena contraseña.
Al examinar el tema de los adjuntos maliciosos en el correo electrónico, no tengo que mostrar a los empleados cómo crear un PDF malicioso pero yo mostrarles lo que parece por tanto la víctima y el agresor los equipos cuando se abre un archivo PDF malicioso. Esto les ayuda a entender que un simple accidente puede conducir a la devastación. Por supuesto, este método de enseñanza produce mucho miedo y, aunque ese no es el objetivo, no es un producto de aspecto terrible, porque los empleados lo recordarán mejor. Pero la meta es hacerlos pensar no solamente en lo que hacen, no sólo en el trabajo y con sus equipos de oficina, sino también sus propias cuentas bancarias, equipos domésticos, y cómo se tratan la seguridad a nivel personal. Quiero que cada persona que escucha una presentación de seguridad o lee este libro para revisar cómo se interactúa con el Internet como un todo y realizar cambios serios para la reutilización de contraseñas, almacenar contraseñas o información personal a sitios no seguros, y a donde se conectan a la Internet. No puedo decirles cuántas veces he visto una persona sentada en el centro de Starbucks en su conexión inalámbrica a internet gratuita control de una cuenta bancaria o hacer una compra en línea. Tanto como quiero ir y gritar a esa persona y decirle cuán rápidamente toda su vida puede ser trastornada si la persona equivocada está sentado sobre esa misma red con ella, yo no lo hago. Quiero que la gente que lea esto para pensar también en cómo dar información por teléfono. Estafadores y estafadores usan muchos caminos para robar a los ancianos, quienes tienen momentos económicos difíciles, y todos los demás. El teléfono sigue siendo una manera muy poderosa para hacerlo. Siendo conscientes de los proveedores, los bancos, los proveedores o las políticas sobre lo que será y no pedir por teléfono puede ayudarle a evitar muchas de las dificultades. Por ejemplo, muchos bancos lista en sus políticas que nunca podrán llamar y preguntar a partir de un número de Seguro Social o número de cuenta bancaria. Sabiendo esto puede protegerle para caer en la trampa que puede vaciar sus ahorros de toda la vida.
Llamar a un "programa de concienciación en seguridad" indica que se trata de algo permanente. Un programa significa planificar tiempo para educar continuamente a sí mismo. Después de obtener toda esta información útil, entonces puede usarlo para desarrollar un programa que le ayudará a mantenerse seguro.
Consciente del valor de la información que se le pide
Refiriéndose al DEFCON 18 nuevo concurso de ingeniería social, en la que hemos aprendido una valiosa lección: cuando la información se percibe como algo que tiene poco o ningún valor, entonces poco esfuerzo se sitúa en la protección.
Esto es pesado de instrucción, pero quedó demostrado cierto con cuántos objetivos entregados voluntariamente información sobre sus cafeterías, eliminación de residuos, y mucho más. Debe tener en cuenta el valor de los datos que tiene y ser conscientes de una táctica un ingeniero social podría utilizar para reducir el valor de esta información en sus ojos. Antes de dar información a alguien, determinar si la persona que está llamando o interactuar con usted se lo merece. Los seres humanos han incorporado el deseo de querer ayudar y ser útil a quienes percibimos lo necesitan. Es una gran forma de un ingeniero social manipula un destino en entregar información valiosa. Análisis de la persona con quien estás interactuando y determinar si ella merece la información que se solicita puede ahorrarle la vergüenza y el daño de la víctima. Por ejemplo, en el concurso de ingeniería social en Defcon un concursante había un pretexto de que era un cliente de una importante empresa de antivirus. Él llamó a un grave problema de su equipo no pudo acceder a Internet y pensó que era debido a algo que el antivirus estaba haciendo y querían que la representación de soporte técnico para hacer una cosa simple-navega a un sitio web.
SEs maliciosos utilizan a menudo este vector de ataque. Por conducir a la víctima a un sitio web con código malicioso incrustado o archivos maliciosos pueden acceder a un ordenador del destino y de la red. En el caso del concurso, el sitio web malicioso no era en absoluto, pero era para mostrar que si se tratara de un ataque malicioso habría sido exitoso. El primer intento fue establecido como este por el concursante: "No me vaya a mi página web y creo que su producto me está bloqueando. Puede verificar accediendo a este sitio, de modo que sé a ciencia cierta si es el software o no?".
El representante del servicio de asistencia técnica bien contestó diciendo, "Señor, nuestro producto no le impida ir a ese sitio; no importa si puedo ir allí o no". declinó la petición.
El concursante no renunciar allí; después de hablar un poco más intentó nuevamente, "sé que usted dijo que su producto no bloquearía el sitio, pero funcionó hasta que he instalado el software, por lo que podéis comprobar por mí?".
Nuevamente fue rechazada su petición: "Señor, lo siento por ese inconveniente pero nuevamente nuestro producto no se opondrá a usted y a mi ir al sitio no le ayudarán a solucionar el problema". Parecía como si la solicitud iba a ser rechazada por buena cuando el concursante intentó un último intento y dijo, "Señor, que eso me haría sentirme mejor si usted acaba de tratar de ir a este sitio para mí. Por favor, ¿puede ayudarme?". Esta sencilla petición poner nuestro representante de asistencia técnica sobre el borde y abre su navegador y se fue derecho a el sitio. Él tenía la idea correcta, incluso tenía el derecho de respuesta de concienciación sobre la seguridad, pero al final quería que su "cliente" a "sentirse mejor" y honrado a su solicitud. Esto podría haber conducido a la empresa un gran peligro si se tratara de un ataque malicioso.
El representante de soporte técnico sabía que esta información no era pertinente a esa llamada concreta. Como él, debe determinarse para analizar si la información solicitada se merecía y pertinentes a la persona con la que está interactuando. Acercándose a este escenario desde otro ángulo, ¿qué ocurre si el concursante era un cliente legítimo y el ejecutivo había disminuido para ir a ese sitio qué es lo peor que podría haber sucedido?
El cliente podría haber sido un poco molesto por que se rechazó la petición que quería pero todavía no habría cambiado el resultado. El producto tenía no era la causa de sus aflicciones. Un ingeniero social se utiliza a menudo el encanto para iniciar una conversación sobre el tiempo, el trabajo, el producto, nada en absoluto, y lo usa para revelar la información solicitada. Aquí es donde una buena política de concienciación de seguridad entra en juego: educar a sus empleados acerca de qué tácticas pueden ser usadas contra ellos puede guardarlos de actuar por miedo. En una auditoría el pretexto que utilicé era el ayudante del CFO. El
centro de llamadas de los empleados tenían miedo de perder sus trabajos para rechazar las peticiones de un alto nivel de gestión. ¿Por qué? No reciben la educación apropiada para saber que rechazar esa solicitud no costaría ellos
Sus puestos de trabajo. Al mismo tiempo, los protocolos deben estar en su lugar para que el empleado sabe cuando una petición de información es correcta. El valor percibido de la información que se pide para estrechamente ligado con una persona educada y consciente a sabiendas de que incluso las pequeñas migajas de datos puede conducir a una violación masiva. Sabiendo que la persona en el otro extremo del teléfono no necesitan realmente saber cuál es el nombre de la empresa para la preparación de los alimentos de la cafetería puede ayudar a un empleado para responder adecuadamente. Si usted es un empleador, ayudar a sus empleados a desarrollar respuestas a estas solicitudes. En la mayoría de los casos, un simple, "Lo siento, no tengo esa información; póngase en contacto con nuestro departamento de compras si usted desea eso." o "lo siento no estoy autorizado a divulgar esa información, pero puede enviar un correo electrónico a
[email protected] pedir a algunos de esta información", puede ir un largo camino hacia la casación muchos esfuerzos de ingeniería social.
Mencioné anteriormente que la creación de una atmósfera que hace que la información parece menos valiosa también es una táctica utilizada por los ingenieros sociales para conseguir que la gente libremente divulgar esta información "sin importancia". Utilizando el ejemplo de nuevo concurso, el concursante se le pidió que proporcionara algunos datos identificativos. Su pretexto era una empresa que fue contratada para realizar una auditoría interna y cuando el destino quiso comprobar quién era él pide algo fuera del formulario de solicitud. Nuestros atletas fingió que incline a un imaginario co-trabajador y dice, "Jane, los señores de Your-Target-empresa quiere el número de ID de la solicitud, se puede hacer un favor y me agarro de Bill's desk"? Como "Jane" salió a buscar la forma que el concursante metida la meta en simple palabrería. ¿Cómo es el clima en Texas?" y "¿Ha sido usted alguna vez a Charlie's Pub?" ha degenerado en cosas como, "quien maneja la comida de la cafetería?" y "¿Quieres ver un sitio fresco estamos trabajando aquí?". Todo esto sucedió mientras él estaba "en espera" para el número de ID. Los ingenieros sociales utilizan esta táctica cada día. Diversión y encanto son
herramientas clave en muchos pretextos. La información que se le solicita durante la "cháchara" es percibido como teniendo menos valor por el tiempo de la conversación es solicitado. Si se ha pedido esa misma pregunta cuando fue "verificar sus hallazgos de auditoría" se han topado con una actitud diferente, pero porque él le pidió que durante una conversación amistosa tanta información fue dada libremente.
La mitigación para esta táctica se está a ponderar el valor de la información que usted está planeando lanzar a pesar de cuando en la conversación es solicitado. En el ejemplo anterior, el objetivo es simplemente esperando a dicho número de identificación antes de continuar cualquier conversación habría sido muy apropiado y lo salvó de ser engañados.
Este punto en particular no siempre es fácil de implementar ya que los empleados, especialmente aquellos que enfrentan los clientes, debe ser capaz de liberar alguna información sin temor a sufrir ataques. Simplemente siendo conscientes del valor de la información por sí solos no pueden detener un ataque.
Mantener el software actualizado En la mayoría de las empresas deben ser capaces de entregar información al público y a los clientes. Incluso en mi empresa me debe ser capaz de dar mis números de teléfono, correos electrónicos y direcciones web. Tengo que ser capaz de enviar y recibir archivos PDF y tengo que ser capaz de hablar libremente sobre el teléfono con clientes, proveedores y fabricantes.
Sin embargo, los puntos discutidos hasta ahora indican que la liberación de ninguna de esta información puede ser el fin de una empresa y posiblemente la privacidad. ¿Qué puede hacer usted para tener la libertad para liberar cierta información y no temer el final? Mantener actualizado. En este concurso, más del 60% de las empresas que fueron llamados seguían usando Internet Explorer 6 y Adobe Acrobat 8. Esas son estadísticas aterradoras. Docenas, si no cientos de vulnerabilidades públicas existen en esas dos aplicaciones por sí solos. Sabiendo que un destino usa esas dos aplicaciones les abre una enorme cantidad de ataques que pueden ser tan maligna que todas las IDs, cortafuegos y sistemas antivirus no puede detenerlos. Pero, ¿sabe usted lo que pueda detenerlos?
La respuesta es que las actualizaciones. Las versiones más recientes de software generalmente han parcheado sus agujeros de seguridad, al menos la mayoría de ellos. Si una determinada pieza de software tiene un historial horrible, no lo use; cambiar a algo menos vulnerables.
El problema que surge es que las empresas son muy lentos a la hora de actualizaciones. IE 6 es muy antiguo, casi al final de su ciclo de vida de soporte técnico de Microsoft. Adobe 8 tiene docenas de exploits disponibles públicamente. Es decir sólo dos de las muchas piezas de información que descubrimos en el concurso. La realidad, sin embargo, es que tiene que ser capaz de liberar la información. Usted debe ser capaz de decirle a la gente libremente lo que está sucediendo. Hacerlo con menos preocupaciones, debe asegurarse de que usted y su uso de los empleados de software actualizado.
En el concurso de llamadas si un empleado divulgó que la compañía utiliza Firefox, Chrome u otro navegador seguro, o FoxIt o la versión más actualizada de software de Adobe, los concursantes se han cerrado. No estoy diciendo que esas piezas de software no experimenta ningún problema en absoluto. Aprovecha para determinadas versiones sin duda existen, pero este software es significativamente menos vulnerables. La posesión de esa información es valiosa, pero aún si no están disponibles, entonces explota la siguiente fase del ataque no puede ser lanzada. Mantener el software actualizado es una sugerencia que parece conseguir la mayoría flack porque toma la mayor parte del trabajo y pueden causar la mayor carga de trabajo. Cambiar las políticas internas y metodologías que permiten al software muy antiguo estando en juego puede ser muy difícil y causar todo tipo de cambios internos.
Sin embargo, si una empresa está comprometida con la seguridad y se comprometieron a crear una conciencia de seguridad personal luego comprometerse con estos cambios pasarán a formar parte de la cultura empresarial.
Desarrollar scripts Uno más beneficioso que cabe mencionar: desarrollar scripts. No cringe; no me refiero a los scripts en el sentido de que el empleado debe decir X si una situación equivale a un plus B. estoy hablando acerca de esquemas que ayudan a un empleado debe estar preparado para utilizar el pensamiento crítico cuando se cuenta con la mayoría. Considere estos escenarios:
¿Cuál es la respuesta correcta cuando alguien que afirma que trabaja para el Presidente pide y exige su contraseña? ¿Qué hacer cuando un chico que no tiene cita pero mira y actúa la parte de un vendedor exige el acceso a una parte del edificio o propiedad?
Los scripts pueden ayudar a un empleado a determinar la respuesta apropiada en esas circunstancias y ayudarlos a sentirse a gusto. Por ejemplo, una secuencia de comandos podría tener este aspecto: Si alguien llama y dice ser de la oficina de la gerencia y exige el cumplimiento de entregar información o datos internos, siga estos pasos: 1.Pregunte por la persona de nombre y número de ID de empleado. No contestar ninguna pregunta hasta que no se disponga de esta información.
2.Después de recibir la información de identificación, solicite el número de ID de proyecto relacionadas con el proyecto que él o ella está gestionando que requiere esta información. 3. Si la información en los pasos 1 y 2 se obtuvo con éxito, cumplir. Si no es así, pregunte a la persona a tener su propio manager enviar un correo electrónico al administrador solicitando autorización y finalizar la llamada.
Un script sencillo como este puede ayudar a los empleados a saber qué decir y hacer en circunstancias que pueden probar su conciencia de seguridad.
Aprendizaje a partir de las auditorías de ingeniería social Si alguna vez ha roto una extremidad usted sabe que a medida que usted se recupera su médico podría mandarlo a terapia. Como terapeutas rehabilitar, usted puede someterse a unas pruebas de estrés. Este tipo de prueba permite a los médicos a ver si tiene debilidades que deben fortalecerse. Lo mismo se aplica para su negocio, excepto que en vez de esperar a que el "descanso" para ocurrir antes de "prueba", auditorías de ingeniería social le permiten comprobar la carga de su empresa antes de que se produzca una violación.
Las siguientes secciones dan respuesta a algunas preguntas clave cuando se trata de auditorías de ingeniería social y cómo elegir el mejor auditor. Antes de entrar en la profundidad de las auditorías de ingeniería social, usted debe saber qué es realmente una auditoría. Entender qué es la auditoría de ingeniería social
En la mayoría de los términos básicos de auditoría ingeniería social es donde un profesional de la seguridad es contratado para probar las personas, políticas y perímetro físico de una empresa mediante la simulación de los mismos ataques que un ingeniero social malintencionado podría utilizar. Las dos diferencias principales entre un ingeniero social malicioso y un auditor profesional son:
Generalmente, existen directrices morales y legales que un auditor profesional va a seguir. Los objetivos del auditor profesional siempre están para ayudar y no molestar, robar o perjudicar a un cliente. Las auditorías profesionales generalmente tienen alcance limitaciones que no se imponen a los verdaderos atacantes. El profesional auditor va a dedicar mucho tiempo a analizar y reunir datos sobre un cliente o "target" y utilizará esa información para desarrollar vectores de ataque realista. Al hacer esto el auditor profesional siempre tiene en cuenta los objetivos que figuran en la escritura de cada auditoría. Esta es una pieza esencial del rompecabezas, porque va por un camino que puede tener repercusiones muy malo tanto en el SE y el destino puede ser tentador. Objetivos claramente definidos pueden mantener un auditor de ingeniería social de hacer ese error.
Establecer objetivos de auditoría El ingeniero social profesional debe participar en un comportamiento moral y ético mientras sigue extendiéndose a lo largo de esa línea que le permita poner en el verdadero "sombrero negro" de un ingeniero social malicioso. Esto significa tomar nota de las cosas que él o ella pueden utilizar para obtener acceso y exponer un agujero o debilidad en las defensas de una empresa, no importa cuán bajo puede parecer. Encontrar los huecos de seguridad tiene que ser compensado con una preocupación de los empleados individuales. Las empresas que se piratean con una auditoría de ingeniería social a menudo piensan que el despido del empleado(s) que cayeron durante el ataque se soluciona el
problema y se conecta el "agujero". Lo que el cliente no se da cuenta es que después de una auditoría, los empleados que hicieron caer de los ataques son probablemente el pueblo más seguro en el edificio en ese momento. El ingeniero social profesional debe tomar precauciones adicionales para asegurar
Que los empleados no se colocan en la línea de fuego. Yo personalmente lo convierten en un punto clave para indicar a los clientes que la auditoría no es acerca de los empleados y, en la medida en que puedo ayudar, yo no incluir los nombres de los empleados que fueron utilizados. En los casos en que esto no sea ayudado y necesito incluir esos nombres, me centraré en el informe sobre las deficiencias que la empresa tiene en su formación, políticas, y defensas que permitieron que el empleado a vacilar. Lanzar un empleado en el autobús, por así decirlo, o estropear su carácter o la vida nunca debería ser una opción para una rutina de auditoría de ingeniería social. Al delinear los objetivos de una auditoría con un auditor que resumo el nivel de intensidad de 0 a 10 para estas áreas clave: Para determinar si los empleados se haga clic en los enlaces incluidos en los correos electrónicos o abrir archivos procedentes de personas que no conocen bien, llevando a comprometer
Para determinar si un empleado tendría que ir a un sitio web e introduzca personales o información relacionada con la empresa sobre este sitio
Para determinar cuánta información puede obtenerse a través del teléfono o visitas en persona de los empleados en lugares de trabajo o personales (es decir, bares, gimnasios, guarderías) Para determinar el nivel de seguridad en el perímetro de la oficina mediante pruebas de cerraduras, cámaras, sensores de movimiento y guardias de seguridad Para determinar la capacidad de un ingeniero social para crear un USB o DVD malicioso que anime al empleado a usarlo en su equipo de trabajo, comprometiendo el negocio
Por supuesto, más áreas será probado, pero lo que intento hacer es esbozar estrechamente los objetivos de la empresa ha de esta auditoría. Lo que me parece es que las empresas a menudo no saben lo que quieren. El trabajo del auditor es caminar a través de diferentes vías a la empresa y a
determinar cuáles de esos que quieren probar. Cuando estos objetivos están claramente definidos, debe incluir también una lista de cosas que nunca deberían haberse incluido en una auditoría. Lo que debe y no debe ser incluido en una auditoría Existen muchas maneras diferentes para probar los objetivos esbozados para ver claramente si existe un agujero de seguridad en una empresa. Utilizando todos los principios en este libro puede
Ayudan a perfilar un buen plan de ataque. Sin embargo, evitar algunas cosas a la hora de planificar un ataque. Cosas como: Atacar a una familia o amigos del destino Plantar pruebas de delitos o la infidelidad de desacreditar a un destino
Según las leyes de la tierra, la suplantación de la aplicación de la ley puede ser ilegal Irrumpir en una casa o apartamento del destino La utilización de la evidencia de un verdadero romance o embarazosa circunstancia de chantajear a un destino en el cumplimiento Estas cosas deben evitarse a toda costa porque no logra la meta y dejar la sensación de destino violados. Sin embargo, viene la pregunta acerca de qué hacer si en una auditoría aparece evidencia de algunas de estas cosas. Cada auditor debe decidir cómo manejar personalmente estas circunstancias, pero se debe tener en cuenta un par de ejemplos. En una auditoría, un auditor encontró un empleado estaba usando la compañía de Internet de alta velocidad para descargar gigabytes de porno para unidades de disco duro externas. En lugar de arriesgarse a ser despedidos del empleado acudió al empleado y le dijo que él sabía, pero no quería que él se disparó y le dio una advertencia a tope. El empleado se convirtió en incómodo y molesto y figuró el auditor iba a informar de él. Él decidió que quería preventivamente contra este ataque y acudió a los dueños y dijo que el auditor es plantar pruebas de este delito en su ordenador.
Por supuesto, el auditor había registros y capturas de pantalla de cuando se produjo la transacción y el empleado fue despedido de todos modos. Pero también el auditor fue reprendido por no venir hacia adelante cuando él encontró un delito del que la empresa tenía una política estricta. En otra cuenta, el auditor encontró pruebas de un hombre descargar pornografía infantil a su equipo y, a continuación, distribuirlo a otros usuarios en Internet. El auditor sabía de otras imágenes en su ordenador que tenía una esposa e hijos, y que esta información podría conducir al
divorcio, probablemente el tiempo de cárcel, y la ruina de su carrera, así como la vida familiar. La ley de la tierra era que la pornografía infantil es ilegal, así como moralmente repugnante y vil. El auditor vuelta al hombre en la empresa
Igual que las autoridades, cuyo costo es que el hombre, su carrera, su familia y su libertad. Haber definido claramente "no" aumenta tu lista de auditorías y te mantiene
Desde el cruce sus propias directrices morales y jurídicas. En una entrevista que tuve con Joe Navarro, uno de los líderes del mundo de la comunicación no verbal, hizo una declaración acerca de este punto. Él dice que a menos que usted sea un agente del orden público tiene que decidir qué líneas usted será y no cruzar antes de entrar en un combate. Con esto en mente, entonces ¿qué cosas debería incluir un auditor en las auditorías? Los ataques de phishing: dirigido ataques de correo electrónico que permiten a una empresa para ver si sus empleados son susceptibles a los ataques a través del correo electrónico.
Ataques: Presenciales Pretexting muy precisa y controlada son pretextos elegido y luego realizada por teléfono o en persona para determinar si los empleados entran por ellas.
Cebo: un ataque en persona donde se accede al edificio del destino o de otros bienes por algún método, y se descartan los USBs o DVDs que contienen archivos maliciosos sobre ellos incrustados con código malicioso. Chupar rueda (o de espaldas): un ataque en persona donde el auditor intenta acercarse a un grupo de empleados para acceder al edificio por justo después de ellos. La seguridad física (Equipo Rojo): Un intento de obtener acceso físico a una oficina y tomar elementos de valor para la empresa.
Esta breve lista puede ayudar a un auditor profesional establecer algunas directrices para definir lo que debe y no debe ser incluido. Aún así, uno de los mayores problemas que muchas empresas han está intentando elegir un buen auditor, quien puede realizar estas tareas a mano.
Elegir el mejor Auditor Si rompe una extremidad y el daño era malo, y un médico le dijo que usted tiene una oportunidad de sólo un 50% de recuperación, sino que va a ver un buen cirujano podría aumentar las probabilidades, no tendría que buscar de alta y baja para un buen cirujano para solucionar sus problemas? Y cuando lo encontraron, ¿qué le preguntaría? ¿No desea ver a su último trabajo? Usted quiere
Algunas pruebas de su habilidad para captar los conceptos y realizar las tareas que aumentarían sus posibilidades de recuperación. Se sigue un proceso similar para encontrar el auditor. Aquí están algunos de los conceptos básicos que usted podría desear para averiguar como usted habla a un auditor:
Conocimiento: El equipo ha liberado ningún tipo de investigación, documentos, discursos, u otros materiales que muestran que estén bien informados acerca de la ingeniería social? Son conocidos en la comunidad para ser líderes en este campo? Usted no quiere confiar su auditoría y seguridad a un equipo que está usando métodos anticuados y no está en la más reciente táctica utilizada. Determinar la cantidad de conocimiento que un auditor y el equipo tiene es difícil hacerlo sin un poco de investigación. Pedir cuentas sobre todo trabajos, artículos o información que han escrito sobre los temas no es una mala idea. Asegúrese de que el equipo que el alquiler es en la parte superior de su juego. Experiencia: Los clientes a menudo no desea ser identificado o llamado. En mi caso, muchos clientes no quieren poner en un sitio web o material de marketing porque sienten que se avergüenzan de ellos o les hacen vulnerables. Pero puede determinar la experiencia del auditor de otras maneras. Preguntarle acerca de los métodos que ha utilizado y cómo él soluciones aplicadas en el pasado.
Un auditor a menudo no quieren dejar que todos los secretos de la bolsa en una reunión inicial, pero le pedimos una o dos cuentas de ataques que lanzó, lo cual le ayudará a determinar su nivel de habilidad. Contrato: Tras la auditoría completamente descrito, documentado y limitaciones establecidas pueden recorrer un largo camino hacia el éxito de la auditoría. Personalmente, no me gusta trabajar con un montón de limitaciones debido a que la mayoría de los ingenieros sociales malintencionados no tienen ninguna en absoluto. Pero al menos un pequeño subconjunto de reglas escritas acerca de lo que está permitido
y lo que no deben ser acordados.
Un ingeniero social quiere permiso para grabar llamadas telefónicas, video-grabar el edificio e interacciones; y especialmente si una auditoría incluye la seguridad física, al haber escrito el permiso para eliminar elementos de las instalaciones. Un auditor no desea finalizar la auditoría sólo se presentó un mandamiento judicial o un pleito.
También designar una persona de contacto de emergencia que sabe acerca de la auditoría y puedo atestiguar para el auditor y equipo. Si un auditor se encuentra en un atasco legal él querrá un número al que llamar. Nadie quiere estar realizando una tardenoche dumpster bucear a ser cumplido por la policía y tienen que pasar la noche en la cárcel. Tener una persona de contacto proporciona un "salir de la cárcel libre" tarjeta y puede ahorrarle muchos quebraderos de cabeza a la larga. Rapport: Aplicar los principios de este libro para encontrar un buen auditor. Cuando hable con él por teléfono o en persona, ¿cómo te hace sentir? ¿Qué ve usted? ¿Tienes la sensación que es muy profesional y su objetivo es ayudar realmente a usted? ¿El equipo de retratar a sí mismo y a su negocio como uno desea ser asociado? Si el jefe de proyecto que es contratar a un auditor, una carga de responsabilidad recae en usted. El auditor puede no querer reunirse con un equipo. Las pocas personas que saben lo que el equipo se ve como la mejor para las auditorías de seguridad física. El equipo, como consecuencia, quizá sólo quiere reunirse con uno o dos personas. Esto significa que usted debe asegurar que el auditor es de alta calidad y puede hacer el trabajo necesario.
Tiempo: Uno de los mayores errores empresas auditores cuando intentan ayudarles es no darles el tiempo suficiente para realizar el trabajo. Se figura que unas pocas llamadas de teléfono o una visita del sitio, que pueden realizarse en un solo día. Aunque esto puede ser cierto, pero ¿qué pasa con la recolección de información, planificación, y delimitar los objetivos? Estas cosas llevan su tiempo. El tiempo es importante, pero también es un arma de doble filo-permitir suficiente tiempo para que el auditor pueda hacer un buen trabajo, pero no tanto tiempo que se convierte en un problema de coste. Gestionar, pero no micro-administrar. Estas son sólo algunas de las áreas a tener en cuenta cuando elija el auditor para su empresa. Al final usted debe sentirse cómodo y bien que el
equipo de ingeniería social tendrá sus mejores intereses en el corazón, hará su mejor esfuerzo para ser un profesional, y mantenerse dentro de las directrices.
Comentarios finales
El conocimiento no tiene ningún valor a menos que se ponga en práctica. -Anton Chejov
La información que proporciona en este libro no es desenfadado. Mucha de la información Muestra vulnerabilidades graves en la manera de pensar y actuar. Cuando enseño clases de seguridad con mi mentor, Mati, habla de un paquete de software llamado "encoder shikata ga nai", que es el japonés para "no ser ayudado" o traducido aproximadamente, "no hay esperanza". Pensé en hacer que el epígrafe, pero me pareció que la frase "no hay esperanza" es un poco más complicada de lo que me gusta ser normalmente. En su lugar, siento el pensamiento acerca de la práctica y el conocimiento se encuadra más del tema del libro. He dicho una y otra vez que el perfeccionamiento de las habilidades, así como la capacidad para detectar estas habilidades en uso toma mucho más que sólo el conocimiento. Siendo demasiado miedo acerca de las cosas que he mencionado en este libro lleva a la ira en todas las maneras en que la gente pirateado, que sólo lleva una senda que nos hagan cerrar nuestras mentes. En su lugar me sugieren un enfoque diferente a la información contenida en este libro además de miedo: una nueva mentalidad que le anima a aprender a pensar y entender los métodos que los "chicos malos" para que pueda ser protegido de caer presa de ellos.
Ahora, no estoy diciendo que no hay lugar para el miedo. Definitivamente existe espacio para sentirse un saludable temor. Proteger sus datos, su información personal y su identidad, pero al mismo tiempo la comprensión de la mentalidad de "hacker" junto con la información en este libro, podría ser más beneficiosa para usted. Esta sección aborda algunas cosas, espero que pueda usted tener lejos de este libro y utilizar en su vida, especialmente si usted está a cargo de la seguridad de su empresa, sus clientes, o leyendo esto para su propia seguridad personal.
La ingeniería social no es siempre negativo
Espero que me inculcó a que la ingeniería social no siempre es negativo. No siempre los hackers o los estafadores que utilizan tácticas de ingeniería social. Doctores, terapeutas, trabajadores sociales, padres, hijos, jefes, empleados de todo el mundo utiliza tácticas de ingeniería social en cierta medida. El arte de la persuasión se utiliza a menudo en social cotidiana normal
Las situaciones. Aprendiendo que la ingeniería social no siempre es aterrador, oscuro, y mal puede ir un largo camino hacia el descubrimiento de cómo ciertas habilidades utilizadas. Después de comprender las habilidades, prácticas y ser calificados o competentes en ellos; discernir cómo están siendo usados contra el pueblo, entonces será mucho más fácil. Usted puede encontrar lugares para analizar estas habilidades que no se encuentran en los oscuros rincones del mundo. Puede leer libros sobre psicología, persuasión, ventas y, a continuación, observar en el campo para ver cómo se usan estas habilidades. La importancia de reunir y organizar la información Realmente no puedo reiterar lo suficiente lo importante la calidad de la recopilación de información es verdaderamente. La calidad, la profesionalidad y el éxito mismo de cada compromiso de ingeniería social depende del nivel de acopio de información de usted. La Web es un inmenso e interminable recurso de información. Las empresas publican sus registros financieros, los nombres de empleados y títulos, información de contacto, fotografías de la ubicación física, políticas de seguridad, los contratos, los nombres de los vendedores y proveedores, popular y archivos personales, y mucho más. A nivel personal, los empleados así como la gente común publicar fotos personales, sus direcciones, sus adquisiciones, arrendamientos, contratos, comidas favoritas, equipos de música, y así sucesivamente. Armado con toda esta abrumadora cantidad de información un ingeniero social puede escoger y elegir lo que quiere usar y qué tipo de vector de ataque para aplicar. A medida que la conexión sigue la información reunida el ingeniero social dará la posibilidad de utilizar líneas de historia y pretextos que tendrán el mayor efecto sobre el objetivo. Sin el acopio de información, tal como se ha reiterado a lo largo de todo el libro, la participación, lo más probable es que conducen al fracaso.
Por ejemplo, si un auditor profesional se dan tres semanas para
un trabajo, él debe pasar la mitad de ese tiempo a la recolección de información. Sin embargo, auditores profesionales suelen tener una tendencia a emocionarse y enfocar el objetivo con los viejos pretextos de espera. No caer en este hábito; pasan mucho de su tiempo en la recopilación de información. Casi tan importante como la propia recopilación de información es la forma de almacenar
La información de catálogo y quizás utilizando uno de los métodos mencionados en el Capítulo 2 para almacenar y organizar esta información. El aprendizaje no solo para cobrar eficientemente la información sino cómo almacenar la información puede ir un largo camino hacia la eficiencia de uso. No simplemente cosas de dumping en un enorme documento pero clasificar cosas, catalogación y etiquetado ellos hará que la información sea fácil de usar, especialmente si usted está en un teléfono de conexión.
Recuerde que un ingeniero social sólo es tan buena como la información que obtiene. Yo personalmente he visto demasiados conciertos vaya por el desagüe debido a mala información o la falta de información. Al mismo tiempo, he visto gente que podría no ser el más suave altavoces o el más encantador triunfar en situaciones muy difíciles a causa de la información recopilada.
La información es el quid de la ingeniería social, y si usted toma cualquier cosa fuera de este libro, dejemos que sea eso. Elija las palabras cuidadosamente Al igual que esta sección de apertura del epígrafe, este tema se presta a la idea de que la información no tiene valor a menos que se ponga en práctica. Usted puede tener toda la información recopilada y organizada y catalogados, pero necesita utilizarla eficientemente. El primer paso es organizar qué palabras que va a utilizar.
He discutido las habilidades de evocación y precarga. Estas son dos de las habilidades más valiosas, y espero que usted practicar con ellos. Use anclas, palabras clave y frases para cargar el destino con emociones y pensamientos para hacerle seguir su plomo. La precarga es una técnica muy poderosa que no puede ser dominado en un corto tiempo, pero la práctica le permitirá utilizar esta habilidad. La gran cosa sobre la precarga es que puede practicar esta habilidad en casa, en el trabajo, con sus hijos, sus padres, sus clientes realmente en cualquier lugar. No creo que practicar esto significa que usted tendrá siempre a la gente a hacer cosas en contra de su voluntad. La precarga es utilizado para motivar a las mentes de las personas para ser más abierto a una sugerencia o idea. Usted
no tiene que utilizar de forma malintencionada. Los niños lo hacen todo el tiempo. Por ejemplo, tu hija dice, "Papá, I love you…" y añade unos cuantos segundos más tarde, "Puedo tener esa nueva muñeca?" Esta es una
Ejemplo de precarga, poniendo un "objetivo" en un estado emocional agradable. Una vez que domine esa habilidad, o al menos adquirir destreza en el uso de la misma, el trabajo
En el modo de uso de la obtención. Recuerde que nadie ama el sentimiento de ser interrogado. La obtención no debe imitar un interrogatorio policial; debe ser suave, sin costuras de conversación que se utiliza para recopilar información de inteligencia sobre el destino o el tema que está buscando. Aprender los métodos y procesos utilizados para venir para arriba con preguntas que pueden utilizarse en una conversación normal no sólo mejorará sus habilidades como un ingeniero social sino también como un comunicador. La gente disfruta cuando sienten que otros están interesados en su vida y en su trabajo. Usando esta habilidad para el bien pueden mejorar su capacidad como un ingeniero social. Tengo un buen amigo que obtiene la gente a decirle nada. Es extraño. Completos desconocidos, al final de una conversación, dicen cosas como, "Yo no sé por qué te estoy diciendo que todas estas cosas..." Ella no es un ingeniero social o incluso en la seguridad, pero ella es una gran elicitor. Dominar la precarga y la obtención puede mejorar su capacidad para planificar lo que va a decir. Estas habilidades pueden poner tu mente en el marco de la búsqueda y recopilación de información de una forma más inteligente y menos intrusivo.
Tener un buen pretexto Recuerde que un buen pretexto no es una mentira o una historia. En lugar de ser y vivir su pretexto para un corto período de tiempo. Cada fibra de su ser-tus pensamientos, acciones, lenguaje, y la motivación, debe reflejar lo que el pretexto que haría. Si usted puede lograr esto entonces el pretexto será creíble para el destino.
La otra cosa que debes recordar es que pretexting es utilizado en la vida cotidiana, no sólo en la ingeniería social. Imagine este escenario: Usted tuvo una discusión con su pareja. Ahora es tiempo de trabajar. Usted no quiere que todos saben que las cosas en casa no son buenos este día, así que cuando usted vaya a trabajar y atender a tus
compañeros que dicen "Hola Jim ¿cómo van las cosas?" La respuesta es, "Impresionante. No podría ser mejor". Que es lo contrario de la verdad, pero ¿qué se puede hacer para que creíble? Disparar a alguien una sonrisa, o un proyecto confianza a través de la postura o el lenguaje corporal. Dependiendo de cómo usted está privado y cuánto usted
No quiere compartir con sus compañeros incluso puede tener un "portada" para demostrar cuán grande es la vida. Esto es sólo una hipótesis, pero que la gente utilice pretexting todo el tiempo. Cuando se trata de representar una diferencia de lo que es la realidad a la gente la "portada" para hacerla verosímil es un pretexto. Por supuesto, la mayoría de las personas no son realmente buenos y se detectan fácilmente, pero notando estas situaciones en su vida y en su trabajo le dará una buena base de pretexting para analizar.
El análisis de estos escenarios puede ayudar a identificar las áreas que desea mejorar en su pretextos y ayudarle a dominar esta habilidad muy útil.
Practicar la lectura de expresiones Creo que puedo hablar durante semanas sobre microexpressions. El tema simplemente me fascina, y me intriga pensar que la gente ha creado mecanismos para mostrar nuestros más profundos sentimientos más oscuros, y la mayoría de nosotros no tendrá ningún control sobre ella. Cómo nuestras emociones causan ciertos músculos que se contraigan y mostrar una cierta expresión de milisegundos es sólo un aspecto asombroso de la creación. Pero aprender a encontrarlas, leerlas, y utilizan esas mismas expresiones de manipular a los demás es algo que realmente me sorprende.
Practicar cómo recrear el microexpressions discutidos en el Capítulo 5. Como usted, observe las emociones microexpressions evocar en ustedes. Practicar estas expresiones también le ayudará a leerlos cuando otros expresarlas. A medida que la práctica, no se centran sólo en lo que se tarda en leer en otros microexpressions sino sobre cómo controlar su propio microexpressions e impedir que alguien utilizando sus habilidades de lectura lectura facial sobre usted. Recuerde que la lectura de los demás es una buena habilidad, pero tener el control sobre su propio microexpressions, el lenguaje corporal, y vocal de tonos es mucho mejor. Esta habilidad puede mejorar sus prácticas en materia de seguridad, así como sus relaciones personales. Después de dominar muchas de esas habilidades, usted comenzará a ver cómo puede utilizar uno de los
conceptos principales del Capítulo 5, el desbordamiento de búfer humano (HBO). La mente humana funciona de forma muy parecida al software, sólo en un nivel superior. Pero puede ser borrosa, examinar y derrocado como software. Volver a leer esa sección para asegurarse de que usted entiende completamente los principios
Presentada. La manipulación y la influencia La manipulación y la influencia son dos aspectos de la interacción social que tienen algunas espectaculares y efectos poderosos sobre las personas que interactúan. Por este motivo, utilice la información en el capítulo 6 con extremo cuidado. Aprender a persuadir y manipular personas literalmente puede hacer la diferencia entre el éxito o el fracaso de una empresa de ingeniería social. Cada día, la gente intenta manipular y persuadir a los demás a tomar acciones. Algunas de estas acciones son muy malas y que puede costar dinero, su libertad personal y su identidad.
Utilizar esas situaciones como herramientas de aprendizaje. Analizar los métodos que los publicistas, psicólogos, consejeros, maestros y compañeros de trabajo usan para intentar manipular. Los puntos de recogida que usted piensa que usted puede aprender y ponerlas en tu arsenal. Recuerde que la persuasión no siempre es negativo: no siempre tiene que significar conseguir que alguien haga algo que no desea. La persuasión puede tener efectos muy positivos, y muchas veces la persuasión positiva es mucho más difícil. Si usted es capaz de dominar las habilidades y utilizarlas para ayudar a la gente a mantenerse seguro, usted será capaz de identificar más fácilmente cuando alguien está usando tácticas de persuasión en un sentido negativo.
Estar alerta a las tácticas maliciosas Ser consciente de lo que los atacantes utilizan tácticas seguramente tendrá que caiga víctima de ellos. Los auditores profesionales pueden utilizar estas tácticas para educar a sus clientes sobre qué buscar en un posible ataque. Estar alerta para seleccionar instancias de cómo estos están siendo utilizados. Por ejemplo, una táctica que los "chicos malos" se usan para la huelga durante los momentos de dificultad. Cuando los aviones se estrellaran
contra las Torres Gemelas, los terremotos de Haití y el tsunami en Asia, la devastación a la población humana y sus vidas, psique y emociones era insuperable. Durante los tiempos de la vulnerabilidad de las personas y la debilidad es exactamente cuando los malos huelga. Permítaseme ilustrar de esta manera: una vez leí un artículo que habla sobre cómo
Los leones cazan en el medio silvestre. Se dice que un león, cuando quiere confundir y discontinuo de un grupo de presas para elegir una víctima, bramará hacia el suelo y no hacia la presa o cielo, pero la tierra. ¿Por qué? Es debido a la masiva, inspiran miedo reverberación estruendo del suelo y rodean la presa. Ellos se confunde por no saber la dirección que el león está viniendo. Algunos se dispersan la izquierda, algunos se dispersan sino que dejará a sus jóvenes, ancianos, enfermos y miembros del rebaño inmaduro abierto.
El anterior no está muy lejos de lo profesional de los ingenieros sociales malintencionados operar. Ellos "rugido" de tal manera que puedan causar o agravar la confusión. Ellos utilizan sitios web que ayudan a encontrar a sus seres queridos muertos después de un desastre natural, o reclamación a sí mismos han perdido familiares y amigos en la carnicería. Cuando las emociones de los "blancos" están tan ocupados que no se ven directamente es cuando se produce un ataque.
Los inexpertos e inmaduros (tecnológicamente hablando) caen víctimas primero por dar pedacitos de información hasta que el atacante tiene suficientes para crear un perfil. Ese perfil ayuda a lanzar nuevos ataques, y esos ataques obtenga más cruel y despiadada. Estar alerta a estos casos, y usted podrá mantener sus clientes y usted mismo protegido de caer víctimas de ellos. Además, use estas situaciones como una lección de aprendizaje, analizar los métodos utilizados, y ver si han trabajado o ha fallado. Al hacerlo, aumentará su capacidad de estar más alerta a las amenazas potenciales.
La lamentable diferencia entre un león y un ingeniero social (aparte de la obvia) es que un ingeniero social no da rugido audible. Él no está ahí fuera, gritando "Quiero presa, ejecute ahora!" en lugar de los ingenieros sociales malicioso sly, ataques sutiles truco miles en sus trampas cada año.
Utilice su miedo Ahora, si este capítulo ha construido ningún tipo de temor en
que todo lo que puedo decir es, "bueno". Usted lo necesita. Porque el temor saludable puede salvar su vida, o al menos en este caso, su identidad y su negocio. Utilizar ese miedo para motivar el cambio. No se enojan y malestar. Tomar una decisión para cambiar y educarse a sí mismo, sus familias y sus empresas cómo observar, aviso, y defenderse de estos ataques. Hacer
La decisión de no permitir que sus identidades y sus compañías a ser pirateadas, y luego hacer algo al respecto. Todo este libro se reduce a "seguridad a través de la educación". La piratería es una forma de arte. La ingeniería social es una mezcla y fusión de ciencias, arte y destreza. Cuando mezclado en la cantidad correcta y el derecho mezcla los resultados son "shikata ga nai". Las empresas pierden millones de dólares al año a las infracciones, con una gran mayoría de esas violaciones derivadas de los ataques de ingeniería social. Sin embargo, más a menudo que no, cuando ofrecemos a nuestros clientes la oportunidad de agregar auditoría ingeniería social a sus servicios de pentesting declinan.
¿Por qué? Las compañías tienden a temer al cambio. Innumerables veces en mi práctica profesional he oído inteligente y negocios exitosos dueños dicen cosas como, "no necesitamos una auditoría de ingeniería social. Nuestro pueblo no caerá en esos trucos." Entonces durante el pentest haremos unas pocas llamadas de teléfono autorizado para obtener información y, cuando presentamos la información en el informe están sorprendidos de lo fácil que es obtener la información. En todos los niveles de las diferentes compañías, sensibilización en materia de seguridad no suelen cambiar mucho. Cuando se habla de empresas luego de un pentest acerca de un programa de concienciación en materia de seguridad hemos lanzado, muchos nos dijeron que no realice un intenso entrenamiento formal para call center o departamentos de soporte técnico. Sin embargo, esos son los mismos departamentos que más suelen caer en ataques de ingeniería social.
Esto apunta al núcleo del problema que estoy hablando aquí. Seguridad a través de la educación no puede ser una simple frase gancho; tiene que convertirse en una declaración de misión. Hasta que las empresas y las personas que componen las empresas tomar personalmente la seguridad y seriedad, este problema no será corregido completamente. En el ínterin, quienes son lo suficientemente graves como para leer este libro y tener ganas de
escudriñar en los rincones oscuros de la sociedad puede mejorar sus habilidades lo suficiente para mantener a sus familias y a sí mismos, y a las empresas un poco más segura.
Cuando el león ruge", aquel que se encuentra en la parte frontal de la mochila líder del éxodo fuera del camino. Ser un ejemplo de qué hacer y cómo hacerlo para defenderse de estos ataques.
Con suficiente tiempo y esfuerzo suficiente cualquiera puede ser ingeniería social. Esas palabras son verdaderas, tan aterradora como están. Eso no significa que no hay esperanza; esto significa que su trabajo es hacer ingeniería social Maliciosa, tan difícil y laboriosa que la mayoría de los hackers renunciar e ir tras "frutos bajos" o la presa que se quede atrás. Sé; suena fría. Me encantaría que todos leyeran este libro y hacer algunos cambios masivos- entonces las empresas sería verdaderamente seguro. Pero eso no es el mundo en que vivimos. Esa declaración, entonces, plantea una pregunta muy seria. Si realmente no hay esperanza, ¿cómo pueden las empresas, las personas, las familias, y todos protegen contra esta vulnerabilidad masiva? Hasta que las empresas comienzan a darse cuenta de su vulnerabilidad a ataques de ingeniería social, los individuos tendrán que informarse acerca de los métodos de ataque y permanecer vigilantes, así como difundir la palabra a otros. Sólo entonces ¿tenemos esperanza de mantenerse si no un paso por delante de un ataque, no demasiado lejos.
Resumen Al concluir este libro, espero que haya abierto los ojos al mundo de la ingeniería social. Espero que continuará para ayudarle a tomar nota de las posibilidades de ataques maliciosos. Espero que le haya ayudado a construir o mantener un saludable temor del potencial para el desastre.
También espero este libro le ayuda a proteger sus negocios, sus familias, sus hijos, sus inversiones y su vida. Espero que la información que dentro tiene le mostró que permanecer completamente seguro y protegido no es imposible. Mati Aharoni, mi mentor, dice en una de sus clases que la razón por la que los malos suelen ganar es porque tienen la dedicación, el tiempo y la motivación de su lado. No dejes que la vida se interponga en el camino de
la seguridad. Por el contrario, no deje demasiado miedo a los chicos malos le impiden disfrutar de la vida. Espero que la aplicación de los principios en este libro mejora su capacidad de leer y comunicarse más eficazmente con la gente que te rodea. Con ellos en muchos aspectos de su vida, no sólo la seguridad, puede ser una alteración de la vida
Ejercicio. La ingeniería social es realmente una forma de arte. Disfrutar.
Índice
Números Regla 7-38-55 Timo 419 Un Frank Abagnale Jr. Escucha activa, reflexiva y la respuesta agresiva de los interrogatorios, Mati Aharoni Un programa se bloquea colección de sellos
Formación de la Fuerza Aérea, incentivos sociales y alcohol, y eliciation Ruta alternativa de anclaje del logotipo de Amazon
Cólera, ansiedad microexpressions
Apariencia, establecimiento de comunicación y colocación de mano/brazo Preguntar por qué
desea asumió el conocimiento
Supuestos de manipulación positiva assumptive preguntas Ataques de Asterisk
Dalai Lama más costosa la identificaci ón Atención, manteniendo el atractivo de las subastas, coherencia de grabación de audio
Tarjeta celular pensadores auditivo auditorías Selección del auditor objetivo establecer los elementos incluidos
Autoridad La autoridad judicial competente la autoridad social símbolos organizacionales Símbolos de B Antecedentes
checkers BackTrack
Cesta Dradis Balmund D.C., modelo transaccional de comunicaciones Bandiera, Oriana Bandler, Richard Historias como instrucciones directas cuentas bancarias, Blippy
La transferencia de fondos de banco a banco, Mark Stanley Rifkin Barankay, Iwan Barlett, Frederic C. comportamiento de la línea de base para las metas cesta Capturas de pantalla de notas
Bateson, Gregory La batalla de la mente (Sargant) belleza, éxito y
Los cambios de comportamiento en el engaño, Robert Benford
Berlo, David, SMCR (Sender-Message-ChannelReceiver) modelo BitDefender, uso de contraseña Asociación de color negro Blippy Bloomingdales' color azul asociación compra el lenguaje corporal.
Condon, William micromovimientos coincidentes
La postura del cuerpo, interrogatorio y Boehm, Stephan G., Nicholas Boothman
Nombres de marca
Brandler, Richard, programación neurolinguistic tasa de respiración Bregler, Christoph Bressert, Steve
Asociación de color marrón
Definición de búfer, desbordamiento de búfer
Derechos Comandos incrustados fuzzing"
Bump keys Golpee la prueba BiLock, Judith Butler
C Cámaras de falsificación de caller ID Campeau, Robert Canadá (CTU) de la unidad de lucha contra el terrorismo, los planos de construcción
Cámara franco carnavales, coherencia y estudios de caso DMV hack importancia de confíe CEO
Administración de la Seguridad Social hack Theme Park escándalo
Top Secret 1
Top Secret 2 Cathie Marsh Centro para información de censos y encuestas el respaldo de una celebridad de producto Tarjeta celular CeWl para la grabación de audio. CFB (Canadian Forces Base), violación de seguridad Chebat, Jean-Charles
Comprueba destrozó en coche, Robert Cialdini
Autoridad y Compromiso y coherencia experimento enfermera
Prueba social preguntas cerradas cotrabajadores como amenaza de seguridad coacción Cafetería conversación disonancia cognitiva en la manipulación de color Negro Azul Marrón Oro Verde Morad o Naranj a Rojo Blanco Amarill o
Método de combinación para el interrogatorio zonas de confort Compromiso carnavales decisiones
instintos viscerales y casas de juego
Recopilación de información y la comunicación
Definición y formas de energía
La parte no verbal y percepción de las realidades personales y proceso Pregun tas de reglas y normas Los ingenieros sociales y la unidad USB aceptación parte verbal
Modelo de desarrollo de canal de comunicación feedback Recopilación de información y mensaje Receptor modelo Shannon-Weaver Problemas de base
(Sender-Message-Channel-Receiver
SMCR) modelo fuente El éxito del modelo transaccional
Instituto de Seguridad del equipo de modelado de comunicación concesión encuesta
Las solicitudes de donación de concesiones eventuales cuotas Etiqueta la negociación de concesiones y la reciprocidad
Conclusión, acondicionado y pretexting Comercializació n, William Condon el lenguaje corporal.
Micro-movimientos NLP (Programación neurolinguistic) datos confidenciales por correo electrónico la confrontación, positivo Consenso Movimiento Conservador coherencia Subastas carnavales decisiones y casas de juego
Recopilación de información y
marketing El desprecio, el contingente microexpressions concesiones contradicciones en el engaño controlando la conversación entorno
Educación Las expresiones faciales
La codicia dominar el arte comportamiento natural
Contraterrorismo, de encuadre y de cupones como incentivos financieros, Michele Covell Craig, K.D. Crandall, Christian Los cultos, la manipulación y las diferencias culturales Reciprocidad y gestos
Las contraseñas de usuario común (CUPP Profiler) curiosidad, rapport y D Dalai Lama DarkMarket, Master Splynter DarkReading, infracciones de datos Charles Darwin, la expresión de las emociones en el hombre y los animales
Davis, Harry De Boulogne, Duchenne, detección de engaño sonriente
Cambios en el comportamiento de los gestos de la mano contradicciones titubear
La toma de decisiones, el compromiso y la coherencia, Judith DeLozier Tortugas todo el camino abajo
Las denegaciones, interrogatorio y El Departamento de Defensa, el interrogatorio y el DHS (Department of Homeland Security), obtención de dialectos, practicando Dialectos para la etapa (Machlin) enfoque directo a interrogatorios instrucciones directas, historias como las víctimas de un desastre
Empleados descontentos asco, microexpressions desviación
Mitnick hack (DMV) médicos Documentos, desmenuzado Whisperer Perro
Sentido dominante, el discernimiento pide donaciones
Dradis Dumpster diving punteros Dunn, Patricia
Dunn y Bradstreet informes E La economía, principio de escasez y de la educación, la seguridad y
Enfoque egoísta a interrogatorios Eidelman, Scott Ekman, Paul Emociones reveladas El FACS (Facial Action Coding System)
Formación emociones microexpres sions
O'Sullivan, Maureen Desenmascarando la cara Asistentes de proyecto la colocación de codo cerraduras electrónicas obtención Alcohol apelando al ego
Supone la definición de conocimiento
DHS (Department of Homeland Security) las expresiones faciales y Declaraciones falsas, objetivos deliberados de Recopilación de información y de interés mutuo La NSA (Agencia de Seguridad Nacional) y precarga Preguntas cerradas assumptive abierta líder
Enfoque piramidal razones funciona éxito Voluntariado información de correo electrónico, datos confidenciales
Comandos incrustados Enfoque emocional a interrogatorios los apegos emocionales de emociones de destino Controlar instintos viscerales influencia interferring
Macroexpressions microexpressions
Ira desprecio repugnan cia Ekman, Paul miedo felicidad tristeza sorpresa La persuasión Comportamiento del destino y unversality Emociones reveladas (Ekman) empatía Las víctimas de los desastres la compenetración y
la compañía de seguros Empleados descontent os de robo
La energía, las comunicaciones y la
Ingeniería, control de entorno de definición de las leyes europeas, los analizadores de puertos
Enfoque exagerado a interrogatorios reclutadores ejecutivos Las expectativas, la ley de las expectativas expresiones, practicando
Ojos cues
Los interrogatorios y F Enfoque de ahorro de cara a interrogatorios Facebook Las expresiones faciales evocación y
La expresión de las emociones en el hombre y los animales macroexpressions Limitaciones de detección de engaño microexpressions mirroring
Neurolinguistic hacking capacitación para ver
Expresiones micromomentary estoicos ojos El FACS (Facial Action Coding System), FBI, modos de pensar Miedo microexpressions
Sorpresa y logotipo de FedEx Comentarios mientras escucha los pies. Ver manos/pies
, León Festinger disonancia cognitiva incentivos financieros Primeras impresiones flexibilidad
Seguimiento, pretexting y marco de marco de referencia Objetivo enmarcar Alineación, tipos de nombres de marca de amplificación puente etiquetado extensión de contraterrorismo en la percepción y la política
Relaciones de protesta y pertinencia subliminal Tarea s
tortura
Transformació n de los reality shows de televisión utiliza
Visual Frenzen, Jonathan La Comisión Federal de Comercio (FTC) y Pretexting
Winston, Joel fuzzing" G Casas de juego, consistencia y gestos. Ansiedad de anclaje
Colocación de mano/brazo grandes diferencias culturales Abra Palm repetitiva de duplicació n
Steepled dedos tocando/dar golpecitos con los dedos tocando auto Objetivos Auditoría de influencia
persuasión
Asociación de color oro Google Google Dorks operandos Google Hacking para penetration testers (Largo)
Alvin Gouldner, en la reciprocidad de los gobiernos Ubicación GPS, teléfonos inteligentes, fotografías GPS Tracker Lectura de datos Asociación de color verde, John Grinder
Programación neurolinguistic Las tortugas hacia abajo del todo la culpa Gut sentimientos H Los hackers Versus co-trabajadores como amenaza de seguridad ROI (retorno de inversión) y
Hacks DMV Confíe CEO Administración de la Seguridad Social Theme Park escándalo
Top Secret 1 Top Secret 2 efecto halo Los gestos de la mano en el engaño de colocación de mano de manos y pies, el interrogatorio y la
felicidad
Sonrisa, VERDADERO FALSO versus la cosecha
La posición de la cabeza, el interrogatorio y la audición Frente a la escucha y retención
Vacilaciones en el engaño, Hewlett-Packard pretexting ejemplo Hogan, Kevin Desbordamiento de búfer humano comandos incrustados fuzzing" Infraestructura humana humillación
Yo ICanStalkU.com identificación de ataques los ladrones de identidad. Destrozó verificar en coche incentivos ideológicos de la imaginación del oyente los incentivos para la manipulación
Financiero social
ideológico Sentimientos endeudados, reciprocidad y enfoque indiferente a interrogatorios enfoque indirecto de influencia de interrogatorio. Véase también la persuasión
Autoridad Autoridad legal
La autoridad organizacional la autoridad social de símbolos Robert Cialdini, concesión de compromiso
Las solicitudes de donación de concesiones eventuales cuotas Etiqueta la negociación de concesiones y la reciprocidad
Acondicionado, comercialización consenso coherencia Emociones y flexibilidad y encuadre Extensión de puente de amplificación de alineación política relaciones protesta pertinencia subliminal utiliza la transformació
n de tareas
Fundamentos
Objetivos Hogan, Kevin
Diálogo interno y Langer, Ellen gusto y Primeras impresiones el atractivo físico Manipulación ansiedad acondiciona dor de color
Control sobre las definiciones de medio ambiente Desviaci ón duda
Las respuestas emocionales culpabilidad Humillación incentivos intimidación pérdida de privilegios Motrin recordar planogramas impotencia positiva La colocación de productos a los
compradores
Trastorno de ansiedad social y sugestibilidad de campaña
Usa
NLP y obligación rapport reciprocidad Pida lo que desee regalar algo endeudado sentimientos
La economía de escasez
Cortocircuito intencional suministrando carne vendedor restaurantes Eventos sociales de urgencia
Agudeza sensorial prueba social
Cámara franco reír pistas tolerancia al dolor similitud de ventas Tip Jar salando incertidumbr e
Alrededores tácticas
Recopilación de información BackTrack
Cesta Dradis Cafetería conversación compromiso y coherencia
Modelado y evocación y comunicación Pretexting observación y fuentes Valor de la información de sitios web
Cuotas de concesiones instrucciones, historias como compañía de seguros empatía intencional producto escaso suministro de diálogo interno, influencia y
El fraude por Internet, la ingeniería social y el interrogatorio Enfoque agresivo ruta alternativa baseline
Cambios de comportamiento, la postura del cuerpo método de combinación denegaciones El Departamento de Defensa, el abordaje directo enfoque egoísta enfoque emocional
objetivo final Control del entorno exageración enfoque ojos
A salvar la cara de enfoque
Anclaje de gestos Colocación de mano/brazo reflejo de las diferencias culturales Manos y pies la cabeza de posición
Enfoque indiferente enfoque indirecto versus entrevista escuchando Distracciones retroalimentaci ón auditiva versus Interrupción prestando atención prueba Responder respuestas reflexivas
Enfoque lógico boca/labios objeciones
Confrontación positiva prep preguntas sentido primario tácticas profesional
pronombre utilizar señales de tiempo de respuesta, grupos El color de la piel enfoque comprensivo
Desarrollo del tema verbo tensa
Voz Enfoque de la coartada de PCP palabras Entrevista versus interrogatorio intimidación Direcciones IP, servidores, hosting
K Kaspersky Labs, las redes sociales frases clave coincidente, amabilidad, rapport building y pensador quinestésica Sub-modalidades de tocar objetos de Kmart planogramas La compenetra ción y el conocimient o supuesto
Kurgan, Murgis L Etiquetado
Lakoff, George Langer, Ellen
Irreflexión Reír pistas, prueba social y la ley de las expectativas
Abogados
Los dirigentes, la autoridad social y preguntas principales Cables, cables caliente autoridad legal
Cuestiones legales, pretexting, Wen Li Gusto Primeras impresiones influencia y marketing y
El atractivo físico y los pasos necesarios para conseguir que la gente Tupperware partes
LinkedIn Los labios. Véase también la boca y labios escuchando Distracciones retroalimentaci ón auditiva versus Interrupción prestando atención prueba
Establecimiento de
comunicación y respuestas Responder reflectante lock picks Bump keys Protuberancia BiLock cerraduras electrónicas kits de prueba
Cerraduras magnéticas
Suplementos de candado forzar cerraduras Rastrillo de práctica
Empujar los bloqueos de las cuchillas Loftus, Elizabeth Enfoque lógico para el interrogatorio Largo, Johnny, Google Hacking para penetration testers
Los Alamos científico en China la pérdida de privilegios Lustig, Víctor M Machlin, Evangeline, dialectos para la etapa macroexpressions Cerraduras magnéticas hackers malintencionado s Maltego manipulación
Ansiedad Asociaciones de
color negro Oro Azul Marrón Verde Naranj a rojo púrpur a
Blanco amarillo acondiciona do
Control sobre el medio ambiente los cultos Definicion es desviació n duda
Las respuestas emocionales objetivos La culpa la humillació n incentivos Financiero social ideológico La intimidación a la pérdida de privilegios Motrin recordar planogramas impotencia positiva La colocación de productos a los
compradores
Bucles musicales Trastorno de ansiedad social y sugestibilidad de campaña Aumento de clics pluma socavar creencias
Usa
Marketing y belleza acondiciona do coherencia
Incentivos ideológicos gusto y
Trastorno de ansiedad social campaña, John Matherly Albert Mehrabian Michon, Richard micro-movimientos microexpressions Detección de engaño Ekman, Paul
Emocion es Entrena miento Emociones ira despreci o asco miedo Felicidad limitacion es mirroring
Neurolinguistic
hacking tristeza Los ingenieros sociales y estoicos ojos Capacitación para ver sorpresa
Expresiones micromomentary microsoft.com archivos PDF Milán, César Irreflexión, Ellen Langer mirroring mirroring gestos microexpressions Mischke, Tom Errores, propositivo, mitigación
Auditorías y Selección del auditor objetivo establecer los elementos incluidos
Concienciación sobre la seguridad personal cultura scripts Pasos de mantenimiento de actualización de software Mitnick, Kevin El arte del engaño DMV hack Administración de la Seguridad Social hack Mizrahi, Avi Modos de pensamiento pensadores
auditivo
Sentido dominante, el discernimiento FBI memo Importancia del interrogatorio y pensadores quinestésica
Submodalidades para escuchar
Observación ejercicio pluma sentidos
Submodalidades pensadores visuales
Sub-modalidades "Modificación de voz audible y visual", Scott Morgan Robo de empleado de Morgan Stanley. Moriarty, Thomas, radio robando en playa Motrin recordar Moulton, Scott, exploraciones de puerto boca/los labios, interrogatorio y películas, precarga y Mularski, J. Keith, DarkMarket
Música de bucles para manipulación del shopper
N Nacido natural necesita líderes, psicológica
Negación, comandos incrustados y negociación, concesiones neurolinguistic hacking
Nickerson, Chris pretexting timo nigeriano NLP (Programación neurolinguistic, Richard Bandler)
Bateson, Gregory Brandler, Richard
La tasa de respiración de códigos Condon, William consciente o inconsciente de definición de relaciones Judith DeLozier La historia de John Grinder, influencia y frases clave meta-modelo nuevo código filtros perceptuales planeta NLP scripts Estructura de la oración, los ingenieros sociales' utiliza la coincidencia de patrones de voz estados Último tono vocal de voz voz coincidentes NMAP, escaneos de puertos de comunicación
no verbal La NSA (Agencia de Seguridad Nacional), obtención
Oh Objeciones obligación observación
Sonidos de Office herramientas online Maltego
SET (ingeniero social Toolkit) preguntas abiertas Abra Palm líneas de apertura apertura
Asociación de color naranja en el músculo orbicularis oculi sonriendo la autoridad organizacional, Maureen O'Sullivan Ekman, Paul asistentes Project
Confíe CEO hack P Suplementos de candado La tolerancia al dolor, social y modelización, Ken Paller A. Contraseña profilers CeWl Contraseña de usuario común (CUPP Profiler) JMJ (quién es su papá)
Lista de ataque de contraseñ as BitDefender estudio temas comúnmente usados
Pretérito para negativos Pavlov, Ivan
Prestando atención Pen haga click manipulación penetration testers Un programa se bloquea la percepción
Comunicación y encuadre y
Persona en peligro Accesorios personales de la meta información personal, los sitios web que ofrecen intereses personales, y pretexting realidades personales y concienciación sobre la seguridad personal de comunicación cultura sitios web personales
La persuasión. Véase también la influencia de acondicionado, consenso de marketing Emociones y flexibilidad y objetivos
Gusto y Primeras impresiones el atractivo físico Manipulación acondiciona dor de color
Control sobre las definiciones de medio
ambiente Desviaci ón duda
Las respuestas emocionales
Incentivos intimidación Motrin recordar planogramas impotencia la colocación de productos a los compradores
Trastorno de ansiedad social y sugestibilidad de campaña Utiliza agudeza sensorial prueba social
Cámara franco reír pistas tolerancia al dolor similitud de ventas Tip Jar salando incertidumbr e
Alrededores Las compañías farmacéuticas y la reciprocidad el phishing Correo electrónico SET (ingeniero social Toolkit) el uso del
teléfono Fotografías, teléfonos inteligentes, el atractivo físico de ubicación GPS Herramientas de bloqueo físico cámaras picks
Bump keys Protuberancia BiLock cerraduras electrónicas kits de prueba Suplementos de candado cerraduras magnéticas empujón cuchillos Razones para dispositivos de grabación.
Forzar cerraduras llaves bump cerraduras electrónicas cerraduras magnéticas candado rastrillado práctica suplementos Empujón cuchillos planeta NLP planogramas
La siembra de ideas. Véase la
pretensión de los políticos y la política recriprocation, encuadre y Los escaneos de puertos leyes europeas, Avi Mizrahi Moulton, Scott
Confrontación positiva manipulación positivo el refuerzo positivo impotencia de práctica de tiro
Dialectos expresiones
Precarga de películas y cena de bistec Presuposición pretexting Conclusión La muerte de celebridades definición descripción dialectos ejemplos Rifkin, Stanley marca HewlettPackard Siga a través de expresiones y FTC
Recopilación de información y de Internet y Cuestiones legales la vida usa Intereses personales el uso del teléfono
Brad Pitt, estafas de postdesastre principios de Presentadore s de radio e investigación y sencillez
Objetivos spontenaity, accesorios tech support guy herramientas Las auditorías de prevenció ny Selección del auditor objetivo establecer los elementos incluidos
Concienciación sobre la seguridad personal cultura scripts Pasos de mantenimiento de actualización de software La colocación de productos de software de asignación de perfiles
Contraseña profilers Las contraseñas de usuario común (CUPP Profiler) JMJ (quién es su papá)
Movimiento Ambientalista progresiva el uso del pronombre personal La prueba de escucha, props pretexting necesidades psicológicas psicólogos informes públicos servidores públicos
Matelgo Asociación de color púrpura Q
Preguntas cerradas assumptive principal enfoque pirámide abierta Comillas, comandos incrustados y
R Los rastrillos para abrir cerraduras cerraduras de rastrillado
Rapport La escucha activa, reflexiva responder cajeros Construcción Efecto en la apariencia y
La tasa de respiración coincidente el lenguaje corporal Frases clave amabilidad y simpatía la gente escucha Discurso de coincidencia de patrones coincidentes tono vocal
La curiosidad y la definición de empatía y conocimientos generales importancia
Influencia y Atender a las necesidades de las personas hablando de autoexamen Rasul, Imran Reality Show, de encuadre y de reciprocidad Preguntar por qué desea concesiones y las diferencias culturales y a regalar algo, Alvin Gouldner sentimientos endeudados influencia y Dispositivos de grabación tarjeta celular razones
Asociación de color rojo responder reflectante, el entramado de relaciones de refuerzo y el coche de alquiler Informes de investigación, informes públicos, pretexting y tiempo de respuesta, el interrogatorio
y Rifkin, Stanley Mark
Destrozó verificar en coche ROI (retorno de inversión), los hackers y los routers, buscando Las reglas para la comunicación Rusch, Jonathan J.
S Tristeza Ventas, prueba social y vendedores Los ingenieros sociales mirroring salando el tip jar Sargant, William, la batalla por la mente de la saciedad de refuerzo Los estafadores principio de escasez
Economía Cortocircuito intencional suministrando carne vendedor restaurantes Eventos sociales de urgencia
Scripts Prevención y mitigación SE (ingeniería social)
Descripci ón general de la definición
de escasez y usa Motores de búsqueda Google Shodan
La seguridad Los hackers versus cotrabajadores parches para el software
La cultura de concienciación sobre seguridad personal seriedad Seguridad a través de la educación, la autoconfianza sentidos situacional Modos de pensar sub-modalidades
Agudeza sensorial Estructura de la oración, NLP y servidores Hosting buscando público
SET (ingeniero social Toolkit), Claude Shannon modelo ShannonWeaver Problemas de base Motor de búsqueda Shodan, manipulación de los compradores
Bucles musicales Corta el suministro de producto empujón cuchillos para abrir cerraduras desmenuzado documentos similitud, prueba social y la
simplicidad en el pretexting habilidades, ingraining
El color de la piel, el interrogatorio y Skitka, Linda Slaney, Malcolm Smart, Jamie
"El mapa no es el territorio." Los teléfonos inteligentes, imágenes, ubicación GPS
(Sender-Message-Channel-Receiver SMCR) modelo sonrisas De Boulogne, distrofia versus VERDADERO FALSO
Nieve, David Amplificación de la trama social, definición
Trastorno de ansiedad social campaña autoridad social Los ingenieros sociales marco de ingeniería social
Comunicación y empleados descontentos médicos Reclutadores ejecutivos gobiernos hackers
Los ladrones de identidad abogados microexpressions y NLP utilice Penetration testers psicólogos
vendedores estafadores espías
Pensand o como tipos
Incentivos sociales sociales gating
redes tail-
Reglas de interacción social los medios sociales Blippy Recopilación de información Los medios de comunicación social, trabajo social información de prueba Cámara franco Respaldo de una celebridad de Robert Cialdini, producto Reír pistas de ventas tolerancia al dolor y la similitud y Tip Jar salando la incertidumbre y
Administración de la Seguridad Social hack (Mitnick) Número de la Seguridad Social Comprobadores de fondo y uso ilegal
Software Perfiles Perfiles de contraseña
Maltego software Buscando en Internet mantenimiento Actualización de parches de seguridad
Discurso espías de coincidencia de patrón
SpoofApp SpoofCard falsificació n de caller ID Caller ID
SuperTrak SpyHawk mundo Super Trackstick GPS Registrador de datos USB de lectura de datos Colección de sellos steepled dedos
Stevens, Tom G., autoconfianza estoicos ojos Historias como instrucciones directas subliminal sugestibilidad de encuadre target
Aumento de clics de pluma Sorpresa Miedo y
Símbolos de la autoridad Enfoque comprensivo a interrogatorios T Sincronismo de cola tocando/dar golpecitos con los dedos blancos Atención,
sosteniendo baseline Comportamiento y emoción su medio ambiente, controlar los apegos emocionales
La intimidación personal impotencia adjuntos Sugestibilidad, aumento de socavar las creencias Soporte técnico, vector de ataque HID Teensy pretexting telelphone utilizar herramientas basadas en teléfono
Asterisco Scripts de falsificación de caller ID
SpoofApp SpoofCard Registros telefónicos y Privacy Protection Act de 2006 tensa cambia Tensión llaves para abrir cerraduras El arte del engaño (Mitnick) La expresión de las emociones en el hombre y los animales (Darwin) el verdadero ajetreo El robo, el robo de empleados del parque temático desarrollo temático escándalo Oficina próspera
Tip Jar salando Tomkins,
Silvan herramienta s GPS Tracker online
Maltego SET (ingeniero social Toolkit)
Contraseña física profilers Las cámaras se bloquean picks
La práctica de los dispositivos de grabación Telefónica pretexting
Asterisco Scripts de falsificación de caller ID
SpoofApp SpoofCard Estudio de caso 1 Top Secret Top Secret 2 estudio de caso la tortura, encuadre y Tostitos logo
Tocar objetos por pensadores quinestésica tocar auto Modelo transaccional de comunicaciones, Balmund, D.C. papelera Dumpster diving punteros documentos triturados cosas valiosas
Tupperware partes
Tortugas todo el camino hacia abajo (DeLozier Coffee) y reality shows en TV, encuadre y
U Ultimate Voice, NLP y
La incertidumbre, la prueba social y socavar las creencias Desenmascarando la cara (Ekman) Actualización de software
Unidad USB aceptación, comunicación y centros de usuario V Tirado cosas valiosas de información de valor
Los tiempos verbales La comunicación verbal de encuadre visual
Los pensadores submodalidades visuales
Tono vocal voz coincidentes Los interrogatorio s y NLP y Vontu, datos confidenciales por correo electrónico W Lleva caliente Weaver, Warren. Véase también el
modelo Shannon-Weaver vector de ataque web, establezca (ingeniero social Toolkit) sitios web Antecedentes checkers ICanStalkU.com recopilación de información recogida de bloqueo
Microsoft.com, archivos PDF páginas personales informes públicos Motores de búsqueda de servidores públicos Socialengineer.org social media
Sitios de usuario Introducir el enfoque de coartada a interrogatorios Westbury, Chris Color blanco Whois asociación Winston, Joel Withgott, Margaret Wong, Kelvie PROYECTO Asistentes
Palabras, interrogatorio y amigos en el lugar de trabajo La JMJ (quién es su papá) software de perfiles
Y
Asociación de color amarillo Z Zinbarg, Richard E. Principal músculo zygomaticus en sonriendo
